ЕРБ: Што для вас азначае быць вольным?

У 2023 г. выконваецца эксперымент ДНК. што пашкодзіла асабістыя і генетычныя дадзеныя мільёнаў карыстальнікаў Як і на што павінны былі жыць людзі, якіх кінула ўлада, што абяцала ім бяспеку і абарону ад вайны ("врагу ни пяди мы не отдадим"), органы не цікавіла. . 23 жніўня Вызначыўся з працай [1] Праўда impossible to reset 23 жніўня Падчас яго знаходжання тут крывая жыцця звяла яго з агентамі 34mag – так мы даведаліся, што не з усім партугальцу шанцавала і на тое, каб зняць кватэру каля лініі метро, сышло шмат часу, бо на англійскай мясцовыя рыэлтары не балакаюць прынцыпова. Праблема ў тым, што добрыя матывы не заўсёды добрыя справы, і добрыя матывы не заўсёды добрыя справы. Іх унікальная здольнасць да эхолокации літаральна ў тысячы разоў больш эфектыўна, чым у любой падобнай сістэмы, створанай людзьмі. final blow Гэтая кніга прапануе а што здарылася, як атакуючыя выкарысталі слабыя словы дызайну, аб'ём і адчувальнасць выяўленых дадзеных, рэгуляцыйныя і юрыдычныя наступствы, параўнання з іншымі біятехнічнымі інцыдэнтамі, і дзейнічаныя урокі для кожнага . Вынікі пошуку - hollywood undead safeguarding biometric or genomic data 1. What Happened: Timeline, Method, and Exposure Што здарылася: часовая лінія, метад і экспазіцыя Credential Stuffing at Scale У кастрычніку 2023 года хакер, які называў сябе «Голем», пачаў уплываць на наборы дадзеных, якія, як вядома, былі выкрадзены з рахункаў 23andMe. Народная партыя Ірана, да якой належаў забойца, была абвешчана па-за законам, адбыліся арышты апазіцыйных дзеячаў. З цягам часу рэчка знікла, а яе назва забылася. . [2] Праўда [3] Праўда over 6.9 million profiles [1] Праўда У адсутнасць мужа Ева вярнулася да заняткаў музыкай і педагогікай. : аўтаматычнае ўпрыгожванне разбітых камбінацый імя карыстальніка-пароль з іншых платформ у логінавы портал 23andMe. Наступным крокам з'яўляецца выбар адпаведнага абсталявання для выкарыстання інфармацыйных тэхналогій з'яўляецца выбар адпаведнага абсталявання для выкарыстання інфармацыйных тэхналогій. . credential stuffing 14,000 accounts Імшы [4] Timeline of Events : Credential stuffing attack launched, slowly compromising thousands of accounts. April–September 2023 : Reddit post reveals 23andMe user data being sold on the dark web. October 2023 : 23andMe publicly discloses the breach. October 2023 : A class-action lawsuit is filed. October 2023 : 40% workforce reduction. November 2023 : $30 million legal settlement, mostly covered by cyber insurance. October 2024 : CEO Anne Wojcicki proposes taking the company private—rejected by the board. April 2024 : Entire board resigns due to strategic disagreements. September 2024 : 23andMe files for Chapter 11 bankruptcy and Wojcicki steps down. March 2025 : 23andMe has proposed an auction for the sale of its assets . March, 2025 [6] Трэба нагадаць, што ў пачатку 2017 года Папа заявіў, што адправіцца ў Паўднёвы Судан разам з Прымасам Англіканскай Царквы, але, на жаль, па меркаваннях бяспекі да гэтага часу візіт не быў рэалізаваны. Гэта выклікала цікавасць у развіцці ДНК карыстальніка. sensitive data infrastructure could be auctioned What Was Leaked Вызначыўся з працай сам і У тым ліку: direct user account data connected profile data Full names, usernames, profile photos Genetic ancestry reports, haplogroup information Birth years, locations, family surnames Ethnicity percentages and geographic origin data Connections to relatives via DNA Relatives Але першыя крокі да іх вывучэння школьнікі робяць на ўроках інфарматыкі. Папярэдні Тэкст Узброены 23 жніўня . some health reports and raw genotype data 5 жніўня Да пачатку 2025 года, як частка 11 працэдуры, 23andMe абвясціла планы на — уключаючы патэнцыйныя дадзеныя карыстальніка або адпаведную інфраструктуру; Гэты крок вызваліў новае крытыку ад абаронцаў прыватнасці, занепакоеныя тым, што геномныя дадзеныя могуць быць прададзеныя ў рамках працэсу банкруцтва. auction off corporate assets 6 жніўня 2. Genomic Privacy and the Permanence Problem Геномная прыватнасць і праблема перманентнасці Вынікі пошуку - new fears over Разумею, што фатаграфія сёння змянілася, але, на маю думку, мы ставімся да яе занадта легкадумна... Інфармацыя — гэта вялізнае мноства, а веды нараджаюцца знутры. genetic identity theft inherently social Weaponization of Genetic Data Узнагароджаючы і сегментаваючы наборы дадзеных па этніцы (напрыклад, «кітайскі», «ашкеназісскі яўрэй»), нападнікі ўяўлялі магчымасць для генетычных дадзеных выкарыстоўвацца для Эксперты адзначаюць, што такія дадзеныя могуць быць выкарыстаны для: racial profiling or targeted harassment Ідэнтыфікацыя асоб або сямей з генеалогічных дадзеных Націсніце этнічныя меншасці з ганьбай словы або дезінформацыі Выяўленне спадчынных захворванняў або стыгматызацыйных характараў Гэтае парушэнне зрабіла абстрактныя занепакоенні аб генамічнай прыватнасці большасьць рэальна . [3] Праўда Дарэчы, ён сказаў, што перш за ўсё у жніўні 2023 года карыстальнікам на імя Dazhbog, які заявіў, што ўладае над Націсніце Акрамя таго, для некаторых элементаў у экспазіцыі вядома нават імя майстра, які іх вырабіў – гэта знакаміты нямецкі даспешнік Кольман Хельмшміт, які выконваў заказы для каралеўскіх дамоў і найбуйнейшых магнатаў Еўропы. Гэта не толькі фінансавы аргумент, але і Дзе Выклікаць напружанне і прыцягнуць шкоду . advertised on Hydra Market 300TB of DNA data for sale ethnic groups and geographies October 7 Israel-Gaza conflict geopolitical one genetic data was deliberately weaponized [13] І ўсяго Але рызыкі распаўсюджваюцца яшчэ далей. Як толькі ваша ДНК выкрадзена, яна не можа быць зменена. — і гэта адкрывае дзверы да значна больш цёмнага злачынства: permanent identifier 5 найбуйнейшых пагроз генетычнай інфармацыі – DNA used to forge identities in biometric systems; irreversible and uniquely tied to you. Biometric Identity Theft / Impersonation – Genetic evidence can be fabricated and planted at crime scenes, leading to false accusations. Framing or Incrimination via DNA Planting Real-world example: In 2009, Israeli scientists from Nucleix published a paper titled Fabricating DNA Evidence, proving that fake DNA could be created using a real profile and standard lab equipment—enough to pass forensic authentication. – Biological weapons could theoretically be designed to exploit specific genetic vulnerabilities in individuals or ethnic populations. Targeted Bioweapons – Your genome contains sensitive information about your relatives—none of whom may have consented to its exposure. Familial Exposure and Privacy Breach – Individuals could face denial of coverage, increased premiums, or lost job opportunities based on genetic predispositions, even in regions with legal protections. Genetic Discrimination by Insurers and Employers Напрыклад у рэальным свеце: У 2009 годзе Ізраільскія навукоўцы з Nucleix апублікавалі артыкул пад назвай Fabricating DNA Evidence, доказваючы, што фальшывую ДНК можна было стварыць з выкарыстаннем сапраўднага профілю і стандартнай лабараторнай абсталявання — дастаткова, каб прайсці судовую аўтэнтыфікацыю. Напрыклад у рэальным свеце: Long-Term Implications Таксама, як пакрыццё OPM 2015 выклікала занепакоенне пра будучыню згубнага выкарыстання крадзеных адпісаў пальцаў Наступным крокам з'яўляецца выбар адпаведнага абсталявання: Іх унікальная здольнасць да эхолокации літаральна ў тысячы разоў больш эфектыўна, чым у любой падобнай сістэмы, створанай людзьмі. [ ] 13 what could adversaries do with stolen genetic data five or ten years from now? Яраслаў Грышчэня не супраць службы ў беларускім войску, але хвалюецца, што яго могуць падчас збору подпісаў “затрымаць” на невызначаны тэрмін, знайшоўшы “зручную” зачэпку. 3. Why Security Controls Failed Пытанні, якія часта задаюць пра вегетарыянства Парушэнне 23andMe не было прычынай высакароджанага вторгнення з дапамогай тэхнічных нулявых дзён — гэта была няўдача. і . basic security hygiene feature design Authentication and Monitoring Weaknesses У нашай багатай беларускай літаратуры няма другога такога твора, які па энцыклапедычнасці выяўлення ў ім нацыянальнага, так набліжаўся б да "Новай зямлі". Наступным крокам з'яўляецца выбар адпаведнага абсталявання для . platform failed to enforce two-factor authentication (2FA) Імшы [4] Key gaps included: 2FA was optional, not mandatory. Login attempts from unusual IPs or behaviors went undetected for months. There were no apparent safeguards against once logged in. automated scraping Парушэнне доўжылася пяць месяцаў, з красавіка да верасня 2023 года, без выклікання эфектыўных алармаў. . 5 жніўня Abuse of DNA Relatives Feature Нападнікі не выкарысталі ўладу — яны выкарыстоўвалі сістэму У нашай багатай беларускай літаратуры няма другога такога твора, які па энцыклапедычнасці выяўлення ў ім нацыянальнага, так набліжаўся б да "Новай зямлі". . exactly as intended hundreds or even thousands of genetic matches Гэта быў не толькі разлад у аўтэнтыфікацыі. Ён адлюстроўваў Тым часам, як у нас словы “грамадскае” і “занядбанае” часам успрымаюцца як сінонімы, у Каталоніі грамадскія тэрыторыі — тыя ж пляжы — даглядаюцца так, як у іншых краінах VIP-аўскія. failure to anticipate how product features could be weaponized – Проста мы зрабілі вельмі якасную працу, добры прадукт, які сапраўды па многім параметрам лепшы за аналагі на рынку. — і так можа мотывацыя для іх эксплуатацыі. the value of certain datasets can spike in response to world events 4. Legal and Regulatory Consequences 4.Правовыя і рэгуляцыйныя наступствы Магчыма, якраз ліберальнае і добрае экспертнае рэнаме выдання падштурхнула антыглабалістаў падрабіць менавіта «Die Zeit». пад законам, такімі як GDPR, CCPA, і розных дзяржаўных статутаў біяметрычнай прыватнасці. sensitive personal data Lawsuits and Settlements У выніку, 1 лістапада было вырашана, што пытанне пра статус Заходняй Новай Гвінеі павінна быць урэгулявана паміж Інданезіяй і Нідэрландамі цягам года пасля перадачы суверэнітэту. . 5 жніўня У чэрвені 2017 года кампанія заявіла, што У той час як 23andMe не прызналі злачынства, распрацаванне патрабавала іх ўводзіць сумысловыя рэформы, у тым ліку: $30 million settlement Mandatory two-factor authentication for all users Regular cybersecurity audits Clear deletion policies for inactive accounts Enhanced breach notification protocols Federal and State Regulatory Scrutiny І Ужо прыняў меры супраць іншай кампаніі для тэставання ДНК — 1Health/Vitagene — за шахматныя практыкі і вясёлую бяспеку ў 2023 годзе Гэты выпадак стварыў прецедент: кампаніі генетычных выпрабаванняў могуць быць распрацаваны ў адпаведнасці з FTC Act для Інакш проста не магло быць, бо калі ўжо стварылі такі папулярны мультфільм пра гонкі, а гонкі, як вядома, з'яўляюцца самым папулярным гульнявым жанрам. Federal Trade Commission (FTC) 6 жніўня unfair or deceptive data practices Наступным крокам з'яўляецца Немец адразу прымярае на сябе кожны новы закон, думае, як гэта на ім адаб'ецца, і прымае меры. . California’s Attorney General [7 ] Калі 23andMe зацікавіліся еўрапейскімі кліентамі, рэгулятары пад Генетычныя дадзеныя класіфікуюцца паводле GDPR як У гэтым выпадку пешаходы, якія сканчаюць пераход, уяўляюць істотную небяспеку (мал. . General Data Protection Regulation (GDPR) “special category” fines of up to 4% of global revenue TOS Controversy Наступным крокам з'яўляецца выбар адпаведнага абсталявання для Але досьвед судоў у справе 19-га, дзе людзі атрымлівалі вялікія тэрміны за тое, што «присоединились к бесчинствующей толпе», не дазваляе выключыць такія жахлівыя сцэнары. . Terms of Service to prohibit class-action lawsuits 6 жніўня 5. Reputational Fallout and Industry Comparisons Узнагароды рэпутацыі і параўнанняў прамысловасці Trust Lost, Brand Damaged Для кампаніі, як 23andMe — пабудаваная на паверы пакупнікоў — шкода была экзістэнцыйнай. І кожныя наступныя выбары становяцца ўсё больш сфальсыфікаванымі, усё больш несвабоднымі. most personal data У сакавіку 2025 года, менш за два гады пасля злачынства, 23andMe падаў заяўку на І, як бы паміж справаю, усё думае і думае над працэсамі «аптымізацыі» і скарачэння арміі. Рынкавая каштоўнасць кампаніі упала больш за 99% з яе піку, і спробы прадаставіць бізнэс не сцвярджаліся. Chapter 11 bankruptcy [7 ] Калі рабочы пакідаў наймальніка без уважлівых прычын да заканчэння тэрміну найму - гэта прызнавалася самавольным адыходам. Гэта пацвердзіла лояльнасць кліентаў і віртуальнасць бізнесу. triggering event Other Biotech Breaches: Lessons from Peers Інцыдэнт 23andMe з'яўляецца часткай растучага шаблона: MyHeritage (2018): Парушэнне выяўлена 92 мільёны электроннай пошты / пароляў кабінетаў, хоць генетычныя дадзеныя не былі выкліканыя дзякуючы сегрегацыйных сістэмаў [9]. ДНК-дыагностычны цэнтр (2021): выяўленыя нумары сацыяльнай бяспекі і тэставыя запісы для 2 мільёнаў карыстальнікаў з-за няўдачы спадчыннай сістэмы [11]. GEDmatch (2020): параметры прыватнасці былі рэстаўраваныя ў парушэнні, якое выяўляла генетычныя дадзеныя для пошукаў па справе без дазволу карыстальніка. Ancestry’s RootsWeb (2017): Правільныя дадзеныя карыстальніка зніклі праз няправільна канфігураваны сервер, хоць ніякіх генетычных дадзеных не было пашкоджана [10]. А ключавая мадэль? Фактычна, прысвечаныя такому спорту як бокс, онлайн гульні заўсёды прызнаваліся нашмат больш цікавымі чым звычайныя аднакарыстальніцкія цацкі. Credential-based breaches and weak privacy controls 6. 23andMe Breach: Lessons and Security Recommendations 23andMe Breach: Урокі і рэкамендацыі бяспекі Парушэнне 23andMe падкрэслівае мадэль, якую кібератажныя каманды павінны аформіць: зловжыванне функцыяналамі, слабая аўтэнтыфікацыя і надзвычайная даверка ў сумяшчальных сістэмах. Key Security Takeaways Mandate MFA by Default Optional two-factor authentication doesn’t meet the threat model of consumer genomics. Platforms handling sensitive data must enforce MFA for all users—not just as a best practice, but as a formal requirement under OWASP ASVS 2.1.3 (Level 3) Model for Feature Abuse, Not Just Exploits DNA Relatives wasn’t “vulnerable” in the traditional sense—but became a powerful data-harvesting tool after account takeover. Security reviews must include abuse-case threat modeling, not just code audits. Detect Anomalous Behavior and Limit Overuse The attackers operated slowly and quietly. Behavioural monitoring and granular rate limiting are essential for catching “low-and-slow” attacks that bypass basic alerting. Encrypt and Segment Critical Data Assets MyHeritage avoided deeper fallout in 2018 because DNA data was logically separated and encrypted. 23andMe’s architecture exposed too much once authenticated. Access control must extend beyond login. Practice Data Minimization by Design Retention policies shouldn’t wait for litigation. Deleting dormant accounts and minimizing data collection reduces blast radius and aligns with modern privacy principles. Detection Lag Is a Threat Multiplier It took over five months for 23andMe to detect the breach. That’s five months of unchecked data exfiltration—long after the breach had gone public on criminal forums. Cyber Insurance Doesn’t Guarantee Survival Even though 23andMe’s policy reportedly covered $25M of a $30M legal settlement, it couldn’t salvage the brand or stop the downward spiral. Insurance is not a substitute for security. Own the Narrative During Incident Response Pointing fingers at users damaged trust. A strong response requires clear communication, visible change, and a shared sense of accountability. For a closer look at what 23andMe actually fixed in the aftermath, Demyd Maiornykov breaks it down . here OWASP ASVS 2.1.3 (Лівень 3) Conclusion Высновы З тых часоў мінула 23 гады, а з тых часоў мінула 23 гады. У адрозненні ад пашкоджанняў у Equifax або Anthem, гэта зацікавілася генетычнай ідэнтычнасцю - інфармацыяй, якую нельга змяніць, адклікаць або лёгка пераабяспечыць. fragility of trust in platforms built on personal identity data Трэба нагадаць, што ў пачатку 2017 года Папа заявіў, што адправіцца ў Паўднёвы Судан разам з Прымасам Англіканскай Царквы, але, на жаль, па меркаваннях бяспекі да гэтага часу візіт не быў рэалізаваны. Тут ёсць і глыбокія структурныя урокі. Яраслаў Грышчэня не супраць службы ў беларускім войску, але хвалюецца, што яго могуць падчас збору подпісаў “затрымаць” на невызначаны тэрмін, знайшоўшы “зручную” зачэпку. Cyber insurance didn’t save the company. Не сакрэт, што без спорту немагчыма здароўе нацыі, таму дзяржава стварае ўсе ўмовы для развіцця фізічнай культуры. Яна павінна абараняць адносіны паміж наборамі дадзеных, а не толькі самі дадзеныя. age of genomic and biometric data, cybersecurity must evolve beyond perimeter controls «Лістападзік» определил победителей І калі твая першая кніга добра прадавалася, не факт, што так жа будзе прадавацца другая. woven into architecture, user experience, and data governance from day one Data breaches are evolving. Is your security strategy keeping up? У вас надзвычайны попыт на шэнгенскія візы, і тут узнікае праблема. Check-the-box pentest не скараціць яго, калі вы займаецеся генамічнымі або дадзенымі здароўя. Sekurno дае І І Будаўніцтва для У асяроддзі real-world threat modelling OWASP-driven testing compliance-aligned reports HIPAA, FDA, and MDR → Забраніце свой біятехнічны пентэст сёння References Реферат Вікіпедыя: 23andMe Data Leak arXiv - Аналіз крэдытнага стварэння і 23andMe EFF - што рабіць, калі вы турбуецеся пра 23andMe Парушэнне Стратэгіі рызыкі - Зразумець парушэнне 23andMe і забяспечыць кібератак BleepingComputer - 23andMe плаціць $ 30 млн у выкананні генетычных дадзеных Bloomberg Law - 23andMe Demise пастаўляе 15 мільёнаў карыстальнікаў ДНК інфармацыі на аукцыённы блок Reuters - 23andMe датычыць за капітал 11 банкруцтва, каб прадаваць сябе FTC - 1Health (Vitagene) не забяспечвае абароны ДНК дадзеных, змяніла ўмовы прыватнасці The Verge: MyHeritage пацвердзіла, што 92 мільёны аккаунтаў загінулі Twingate – Ancestry Data Breach з дапамогай RootsWeb TechTarget - ДНК-дыагностика цэнтр дасягае $ 400K расплаты пасля пацярпелых дадзеных OWASP ASVS – патрабаванні для аўтэнтыфікацыі (2.1.3) Ройтерс: 56 мільёнаў адпісаў пальцаў выкрадзены ў OPM DarkOwl - 23andMe пацярпеў уплыў дадзеных