2023 m. pabaigoje DNR tyrimų bendrovė Tai paveikė milijonų vartotojų asmeninius ir genetinius duomenis. Skirtingai nuo tipiško kibernetinio saugumo incidento, susijusio su slaptažodžiais ar mokėjimo informacija, ši ataka atskleidė giliai asmenines įžvalgas - protėvių detales, genetinius žymenis, šeimos ryšius - kurie yra: . 23Dėl Atskleidė pažeidimą [1] Štai impossible to reset 23Dėl Šis pažeidimas buvo skaitmeninės sveikatos ir biometrinės eros posūkis.Jis sugriovė prielaidas apie vartotojų genetikos platformas, atskleidė silpno autentifikavimo kaskadines rizikas ir sukėlė reguliavimo kontrolę visame pasaulyje. Pažeidimas neįvyko izoliuotai. „23andMe“ ilgai kovojo dėl tvaraus verslo modelio kūrimo. Po to, kai ji tapo vieša, ji nesugebėjo paversti pelno, labai pasikliaudama vienkartiniais rinkinių pardavimais, nesukuriant stiprių pasikartojančių pajamų srautų. Jos bandymas pasukti į terapiją taip pat nesugebėjo įgyti traukos. Šie struktūriniai klausimai sukūrė trapią pagrindą, kuris paliko įmonę ypač pažeidžiamą, kai įvyko pažeidimas. Tai padidino teisinį, reputacinį ir operatyvinį spaudimą, kuris jau buvo didėjantis. final blow Šiame pranešime siūloma a : kas atsitiko, kaip užpuolikai išnaudojo dizaino silpnybes, atskleistų duomenų apimtį ir jautrumą, reguliavimo ir teisines pasekmes, palyginimus su kitais biotechnologijų incidentais ir veiksmingas pamokas visiems . Išsamus 23andMe pažeidimo tyrimas safeguarding biometric or genomic data 1. What Happened: Timeline, Method, and Exposure Kas atsitiko: laiko juosta, metodas ir ekspozicija Credential Stuffing at Scale 2023 m. Spalio mėn. Hakeris, vadinantis save „Golem“, pradėjo išleisti duomenų rinkinius, kurie tariamai buvo pavogti iš „23andMe“ paskyrų. Duomenys buvo suskirstyti pagal etninę grupę – iš pradžių Ashkenazi žydų ir kinų vartotojų – nurodant galimą ketinimą nukreipti konkrečias populiacijas. Galų gale nutekėjimas išsiplėtė įtraukti   . [2] Štai [3] Štai over 6.9 million profiles [1] Štai Skirtingai nuo tradicinio infrastruktūros išnaudojimo, šis pažeidimas buvo pagrįstas : automatinis pažeistų naudotojo vardo ir slaptažodžio derinių iš kitų platformų įvedimas į 23andMe prisijungimo portalą. buvo tiesiogiai prieinama, tačiau kiekvienos paskyros dalyvavimas funkcijoje "DNA giminaičiai" leido užpuolikui nuskaityti milijonų susijusių vartotojų profilio duomenis . credential stuffing 14,000 accounts Tėvynė [4] Timeline of Events 
 
 
 
 
 
 
 
 
 
 
 
 
 : Credential stuffing attack launched, slowly compromising thousands of accounts. April–September 2023 
 
 : Reddit post reveals 23andMe user data being sold on the dark web. October 2023 
 
 : 23andMe publicly discloses the breach. October 2023 
 
 : A class-action lawsuit is filed. October 2023 
 
 : 40% workforce reduction. November 2023 
 
 : $30 million legal settlement, mostly covered by cyber insurance. October 2024 
 
 : CEO Anne Wojcicki proposes taking the company private—rejected by the board. April 2024 
 
 : Entire board resigns due to strategic disagreements. September 2024 
 
 : 23andMe files for Chapter 11 bankruptcy and Wojcicki steps down. March 2025 
 
 : 23andMe has proposed an auction for the sale of its assets  . March, 2025 [6] Pažymėtina, kad šis bankroto pareiškimas nereiškia nedelsiant likviduoti (kaip ir 7 skyriuje), bet strateginis bandymas restruktūrizuoti įmonės skolą ir potencialiai parduoti verslo vienetus, išlaikant ribotą veiklą. , kelia naują susirūpinimą dėl naudotojų DNR duomenų likimo. sensitive data infrastructure could be auctioned What Was Leaked Pažeidimas atskleidė abu ir Įskaitant ir: direct user account data connected profile data 
 
 
 
 
 
 
 
 Full names, usernames, profile photos 
 
 Genetic ancestry reports, haplogroup information 
 
 Birth years, locations, family surnames 
 
 Ethnicity percentages and geographic origin data 
 
 Connections to relatives via DNA Relatives Nors iš pradžių buvo manoma, kad tai neįtraukia žaliųjų genetinių failų, vėlesni atskleidimai patvirtino, kad buvo atsisiųsta prieš 23andMe išjungti prieigą . some health reports and raw genotype data [5] Štai Iki 2025 m. pradžios, kaip 11 skyriaus procedūros dalį, 23andMe paskelbė planus: — įskaitant potencialiai neskelbtus naudotojų duomenis arba susijusią infrastruktūrą Šis žingsnis sukėlė atnaujintą privatumo gynėjų kritiką, susirūpinusį, kad genominiai duomenys gali būti parduodami kaip bankroto proceso dalis. auction off corporate assets Štai [6] 2. Genomic Privacy and the Permanence Problem Genomo privatumas ir pastovumo problema Nelaimė sukėlė naujų baimių – rizika, kuri kokybiškai skiriasi nuo tradicinių PII nutekėjimo. DNR duomenys yra ne tik nepakeičiami; tai Asmens genetinis profilis taip pat atskleidžia informaciją apie jų gimines, etninę grupę ir galimas sveikatos polinkius. genetic identity theft inherently social Weaponization of Genetic Data Pažymėdami ir suskirstydami duomenų rinkinius pagal etninę priklausomybę (pvz., „Kinų“, „Aškenazi žydų“), užpuolikai pristatė galimybę genetiniai duomenys būtų naudojami Ekspertai pažymėjo, kad šie duomenys gali būti naudojami: racial profiling or targeted harassment 
 
 
 
 Identifikuoti asmenis ar šeimas iš genealogijos duomenų Tikslai etninėms mažumoms, turinčioms neapykantos kalbą ar dezinformaciją Atskleisti paveldimos ligos riziką arba stigmatizuojančius bruožus Šis pažeidimas padarė abstraktų susirūpinimą dėl genomo privatumo skausmingai realus . [3] Štai „DarkOwl“ atskleidė, kad pažeidimas buvo pirmas 2023 m. rugpjūčio mėn. vartotojas vardu Dazhbog, kuris teigė turintis daugiau nei Tikslas Vėliau grėsmės veikėjas, žinomas kaip Golem, išleido dalį duomenų Telegrame ir "Breach" forumuose - kai kurie iš jų tariamai buvo laiku reaguojant į Tai rodo ne tik finansinę priežastį, bet ir Kur kur sukelti įtampą ir skatinti žalą . advertised on Hydra Market 300TB of DNA data for sale ethnic groups and geographies October 7 Israel-Gaza conflict geopolitical one genetic data was deliberately weaponized [14] Įmonė Tačiau rizika tęsiasi dar toliau.Kai jūsų DNR nuteka, jo negalima pakeisti. – ir tai atveria duris daug tamsesniam piktnaudžiavimui: permanent identifier 5 pagrindinės grėsmės, susijusios su genetiniais duomenimis 
 
 
 
 
 
 
 
  – DNA used to forge identities in biometric systems; irreversible and uniquely tied to you. Biometric Identity Theft / Impersonation 
 
 
  – Genetic evidence can be fabricated and planted at crime scenes, leading to false accusations. Framing or Incrimination via DNA Planting 
 
   Real-world example: In 2009, Israeli scientists from Nucleix published a paper titled Fabricating DNA Evidence, proving that fake DNA could be created using a real profile and standard lab equipment—enough to pass forensic authentication. 
 
  – Biological weapons could theoretically be designed to exploit specific genetic vulnerabilities in individuals or ethnic populations. Targeted Bioweapons 
 
  – Your genome contains sensitive information about your relatives—none of whom may have consented to its exposure. Familial Exposure and Privacy Breach 
 
  – Individuals could face denial of coverage, increased premiums, or lost job opportunities based on genetic predispositions, even in regions with legal protections. Genetic Discrimination by Insurers and Employers   Realaus pasaulio pavyzdžiai: 2009 m. Izraelio mokslininkai iš „Nucleix“ paskelbė straipsnį „Fabrikuojant DNR įrodymus“, įrodydami, kad netikrą DNR galima sukurti naudojant tikrą profilį ir standartinę laboratorinę įrangą – pakankamai, kad būtų galima perduoti teismo medicinos autentifikavimą. Realaus pasaulio pavyzdžiai: Long-Term Implications Kaip ir 2015 m. OPM pažeidimas kelia susirūpinimą dėl būsimo piktnaudžiavimo pavogtais pirštų atspaudais , 23andMe incidentas kelia šaltą perspektyvą: Nuo individualizuotų socialinės inžinerijos išpuolių iki diskriminacinio profiliavimo, galimi naudojimo būdai tik pradeda atsirasti. [ 13 ] what could adversaries do with stolen genetic data five or ten years from now? Jei vartotojai praranda pasitikėjimą platformos gebėjimu apsaugoti savo DNR, jie gali jį visiškai atsisakyti, stabdydami genetinius tyrimus ir komercinę diagnostiką. 3. Why Security Controls Failed Kodėl saugumo kontrolė nepavyko "23andMe" pažeidimas nebuvo sudėtingas įsibrovimas per technines nulines dienas - tai buvo nesėkmė ir . basic security hygiene feature design Authentication and Monitoring Weaknesses Užpuolikai naudojo įgaliojimų pildymą, kad gautų prieigą. Nors vartotojai prisiima tam tikrą kaltę dėl slaptažodžio pakartotinio naudojimo, iki tol, kol pažeidimas . platform failed to enforce two-factor authentication (2FA) Tėvynė [4] Key gaps included: 
 
 
 
 
 
 2FA was optional, not mandatory. 
 
 Login attempts from unusual IPs or behaviors went undetected for months. 
 
 There were no apparent safeguards against   once logged in. automated scraping Pažeidimas tęsėsi penkis mėnesius, nuo 2023 m. balandžio iki rugsėjo, nesukeldamas veiksmingos signalizacijos. . [5] Štai Abuse of DNA Relatives Feature Užpuolikai nesinaudojo pažeidžiamumu – jie naudojo sistemą DNR giminaičių funkcija leidžia vartotojams peržiūrėti duomenis apie genetiškai susijusius asmenis.Kai užpuolikas pasiekia vieną paskyrą, jie gali sistemingai nuskaityti informaciją iš . exactly as intended hundreds or even thousands of genetic matches Tai buvo ne tik autentiškumo sutrikimas. Pažeidimas sutapo su padidėjusia įtampa Izraelio ir Palestinos konflikte ir neproporcingai paveiktais asmenimis, identifikuotais kaip Ashkenazi žydai ar kinai, kelia klausimus apie motyvus ir ketinimus. failure to anticipate how product features could be weaponized Tai priminimas, kad rizika nėra statinė.Kaip retųjų žemių elementai tapo strategiškai vertingi dėl puslaidininkių atsiradimo, - ir taip gali būti motyvacija juos išnaudoti. the value of certain datasets can spike in response to world events 4. Legal and Regulatory Consequences Teisinės ir reguliavimo pasekmės 23andMe pažeidimo mastas ir pobūdis sukėlė tiesiogines teisines pasekmes ir sustiprino reguliavimo kontrolę, ypač atsižvelgiant į tai, kad genetiniai duomenys yra traktuojami kaip pagal įstatymus, tokius kaip BDAR, CCPA ir įvairūs valstybės lygmens biometrinio privatumo įstatymai. sensitive personal data Lawsuits and Settlements Praėjus kelioms savaitėms po to, kai pažeidimas tapo viešas, 23andMe susidūrė su keliais kolektyviniais ieškiniais Jungtinėse Amerikos Valstijose dėl aplaidumo, sutarties pažeidimo ir nesugebėjimo apsaugoti jautrių sveikatos duomenų. . [5] Štai Iki 2024 m. kovo mėn. bendrovė susitarė dėl Nors 23andMe nepripažino neteisybės, susitarimas reikalavo, kad jie įgyvendintų išsamias reformas, įskaitant: $30 million settlement 
 
 
 
 
 
 
 Mandatory two-factor authentication for all users 
 
 Regular cybersecurity audits 
 
 Clear deletion policies for inactive accounts 
 
 Enhanced breach notification protocols Federal and State Regulatory Scrutiny Tų jau ėmėsi veiksmų prieš kitą DNR testavimo įmonę – 1Health/Vitagene – dėl apgaulingos praktikos ir laisvo saugumo 2023 m. Šis atvejis sukūrė precedentą: pagal FTC įstatymą genetiniai tyrimai gali būti tiriami , ypač kai vartotojai yra klaidinami apie tai, kaip jų DNR bus naudojamas ar saugomas. Federal Trade Commission (FTC) Štai [6] unfair or deceptive data practices Po šio pažeidimo, pabrėžė genomo privatumo svarbą ir rekomendavo vartotojams peržiūrėti savo paskyros nustatymus ir duomenų dalijimosi nuostatas; . California’s Attorney General [ 7 ] Jei 23andMe Europos klientai buvo paveikti, reguliavimo institucijos pagal Genetiniai duomenys pagal GDPR klasifikuojami kaip reikalauja aiškaus sutikimo ir papildomos apsaugos. su tokiais duomenimis susijęs pažeidimas gali sukelti . General Data Protection Regulation (GDPR) “special category” fines of up to 4% of global revenue TOS Controversy Po pažeidimo „23andMe“ kontroversiškai atnaujino savo Kritikai, įskaitant skaitmeninių teisių grupes, kaltino bendrovę bandant apriboti teisinę atsakomybę.FTC anksčiau įspėjo kitais atvejais, kad atgaline data privatumo sąlygų pakeitimai be vartotojo sutikimo gali būti vykdymo pagrindas. . Terms of Service to prohibit class-action lawsuits Štai [6] 5. Reputational Fallout and Industry Comparisons Reputacinis nuosmukis ir pramonės palyginimai Trust Lost, Brand Damaged Tokioms kompanijoms kaip „23andMe“, kurios buvo sukurtos remiantis vartotojų pasitikėjimu, žala buvo egzistencinė. , ir bet koks pažeidimas gali išprovokuoti ilgalaikę baimę ir pasipriešinimą. most personal data 2025 m. kovo mėn., praėjus mažiau nei dvejiems metams po pažeidimo, 23andMe pateikė prašymą dėl , nurodydamas vartotojų paklausos žlugimą ir reputacijos smūgį, kurio ji negalėjo atsigauti Bendrovės rinkos vertė nuo aukščiausio lygio sumažėjo daugiau nei 99%, o bandymai parduoti verslą žlugo. Chapter 11 bankruptcy [ 7 ] Nors žaidžiami kiti rinkos veiksniai, įskaitant tiesioginių vartotojų bandymų prisotinimą, pažeidimas plačiai vertinamas kaip Tai kenkia klientų lojalumui ir verslo gyvybingumui. triggering event Other Biotech Breaches: Lessons from Peers 23andMe incidentas yra augančio modelio dalis: 
 
 
 
 
 „MyHeritage“ (2018): pažeidimas atskleidė 92 milijonus el. pašto ir slaptažodžių derinių, nors genetiniai duomenys nebuvo išleisti dėl atskirtų sistemų [9]. DNR diagnostikos centras (2021): Socialinio draudimo numeriai ir 2 milijonų vartotojų bandymų įrašai dėl įprastų sistemos gedimų [11]. GEDmatch (2020): privatumo nustatymai buvo iš naujo nustatyti pažeidime, kuris atskleidė genetinius duomenis teisėsaugos paieškai be vartotojo sutikimo. Ancestry's RootsWeb (2017): vartotojo įgaliojimai nutekėjo per netinkamai konfigūruotą serverį, nors nebuvo pažeisti jokie genetiniai duomenys [10]. Pagrindinis modelis ? 23andMe pažeidimas išsiskiria dėl jo genominio poveikio masto ir ilgalaikių verslo pasekmių. Credential-based breaches and weak privacy controls 6. 23andMe Breach: Lessons and Security Recommendations 23andMe pažeidimas: pamokos ir saugos rekomendacijos 23andMe pažeidimas pabrėžia modelį, kurį kibernetinio saugumo komandos turi spręsti: piktnaudžiavimą funkcijomis, silpną autentifikavimą ir pernelyg didelį pasitikėjimą tarpusavyje susijusiomis sistemomis. Key Security Takeaways 
 
 
 
 
 
 
 
 
 
 
 
 Mandate MFA by Default Optional two-factor authentication doesn’t meet the threat model of consumer genomics. Platforms handling sensitive data must enforce MFA for all users—not just as a best practice, but as a formal requirement under  OWASP ASVS 2.1.3 (Level 3) 
 
 
 Model for Feature Abuse, Not Just Exploits DNA Relatives wasn’t “vulnerable” in the traditional sense—but became a powerful data-harvesting tool after account takeover. Security reviews must include abuse-case threat modeling, not just code audits. 
 
 
 Detect Anomalous Behavior and Limit Overuse The attackers operated slowly and quietly. Behavioural monitoring and granular rate limiting are essential for catching “low-and-slow” attacks that bypass basic alerting. 
 
 
 Encrypt and Segment Critical Data Assets MyHeritage avoided deeper fallout in 2018 because DNA data was logically separated and encrypted. 23andMe’s architecture exposed too much once authenticated. Access control must extend beyond login. 
 
 
 Practice Data Minimization by Design Retention policies shouldn’t wait for litigation. Deleting dormant accounts and minimizing data collection reduces blast radius and aligns with modern privacy principles. 
 
 
 Detection Lag Is a Threat Multiplier It took over five months for 23andMe to detect the breach. That’s five months of unchecked data exfiltration—long after the breach had gone public on criminal forums. 
 
 
 Cyber Insurance Doesn’t Guarantee Survival Even though 23andMe’s policy reportedly covered $25M of a $30M legal settlement, it couldn’t salvage the brand or stop the downward spiral. Insurance is not a substitute for security. 
 
 
 Own the Narrative During Incident Response Pointing fingers at users damaged trust. A strong response requires clear communication, visible change, and a shared sense of accountability. For a closer look at what 23andMe actually fixed in the aftermath, Demyd Maiornykov breaks it down  . here OWASP ASVS 2.1.3 (trečiasis lygis) Conclusion Išvada 23Nesilaikymas bus prisimenamas ne tik dėl to, kas buvo atskleista, bet ir dėl to, ką jis atskleidė: Skirtingai nuo „Equifax“ ar „Anthem“ pažeidimų, šis pažeidimas palietė genetinę tapatybę – informaciją, kurios negalima pakeisti, atšaukti ar lengvai perdrausti. fragility of trust in platforms built on personal identity data Kad būtų aišku, pažeidimas ne vienašališkai nuskendo įmonei.Tai buvo paskutinis smūgis ilgesniam atskleidimui.Akcijų našumas jau sumažėjo, o incidentas sustiprino platesnį susirūpinimą dėl platformos saugumo, verslo gyvybingumo ir ilgalaikio visuomenės pasitikėjimo. Čia taip pat yra gilesnių struktūrinių pamokų. Strateginis įgyvendinimas negalėjo atitikti investuotojų lūkesčių; iš esmės, vienkartinis DNR testas nėra tvarus verslo modelis. Cyber insurance didn’t save the company. Pažeidimas nebuvo sukeltas vienos klaidos ar išnaudojimo.Tai buvo sisteminių dizaino pasirinkimų produktas, kuris pirmenybę teikė prieigai prieš suvaržymą. Jis turi apsaugoti ryšius tarp duomenų rinkinių, o ne tik pačius duomenis. age of genomic and biometric data, cybersecurity must evolve beyond perimeter controls Biotechnologijų įmonėms saugumas nebegali sėdėti užpakalyje. Kadangi genomikoje pasitikėjimas nėra pridėtinė vertė – tai visa vertės teiginys. woven into architecture, user experience, and data governance from day one Data breaches are evolving. Is your security strategy keeping up? Duomenų pažeidimai vystosi.Ar jūsų saugumo strategija tęsiasi? „Check-the-box“ pentest tai nesumažins, jei tvarkysite genominius ar sveikatos duomenis. „Sekurno“ pristato , ir Pastatytas už ir aplinką. real-world threat modelling OWASP-driven testing compliance-aligned reports HIPAA, FDA, and MDR ← Užsisakykite savo biotech pentest šiandien References Referencijos 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 Vikipedija – 23andMe duomenų nutekėjimas arXiv – Credential Stuffing ir 23andMe analizė EFF - ką daryti, jei esate susirūpinęs dėl 23andMe pažeidimo Rizikos strategijos – 23andMe pažeidimo supratimas ir kibernetinio saugumo užtikrinimas BleepingComputer - 23andMe sumokės 30 milijonų dolerių genetinių duomenų pažeidimo sprendime „Bloomberg“ įstatymas – „23andMe Demise“ blokuoja 15 milijonų vartotojų DNR informaciją „23andMe“ pateikė skundą dėl 11 skyriaus bankroto, kad parduotų save FTC – 1Health (Vitagene) nesugebėjo apsaugoti DNR duomenų, pakeitė privatumo sąlygas „MyHeritage“ patvirtino, kad buvo pažeistos 92 mln. vartotojų paskyrų Twingate – Ancestry duomenų pažeidimas per RootsWeb TechTarget - DNR diagnostikos centras pasiekia 400 000 JAV dolerių po duomenų pažeidimo OWASP ASVS – autentifikavimo reikalavimai (2.1.3) „Reuters“ pavogė 56 mln. pirštų atspaudų DarkOwl - 23andMe kenčia nuo duomenų pažeidimo

Visit Sekurno.com

Šis garso įrašas sukurtas originalia istorijos kalba!

Per ilgai; Skaityti

Download free Tech Leaders Productivity Report!

Kas atsitinka, kai įsilaužėliai gauna jūsų DNR?

About Author

KOMENTARAI

PABAIGTI ŽYMES

ŠIS STRAIPSNIS BUVO PRISTATYMAS

Related Stories

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps