A empresa de testes de DNA 23andMe disse que um hack recente vazou dados pertencentes a 6,9 milhões de usuários. O incidente afetou 5,5 milhões de usuários com o recurso DNA Relatives ativo (correspondência de pessoas com DNA semelhante) e 1,4 milhão com perfis de árvore genealógica.
Fonte da imagem: Darwin Laganzon / pixabay.com
A empresa divulgou informações sobre o incidente em comunicado à Comissão de Valores Mobiliários dos EUA (SEC), bem como em um blog oficial. Os invasores, segundo a 23andMe, obtiveram acesso às informações pelo método de substituição de dados: muitas vezes as pessoas usam os mesmos logins e senhas em serviços diferentes, por isso o comprometimento dos dados de um abre o acesso a outros. Como resultado, os hackers conseguiram fazer login em 0,1% (14.000) das contas do sistema da empresa. Feito isso, eles usaram o recurso DNA Relatives, que envolve a correspondência do DNA de prováveis parentes, e receberam informações adicionais de vários milhões de outros perfis.
As primeiras informações sobre o incidente foram divulgadas em outubro, quando a 23andMe confirmou que os dados de seus usuários foram colocados à venda na darknet. Posteriormente, a empresa disse que estava analisando relatórios sobre a publicação de 4 milhões de perfis genéticos de pessoas no Reino Unido, bem como “das pessoas mais ricas que vivem nos EUA e na Europa Ocidental”. O banco de dados vazado de 5,5 milhões de usuários do DNA Relatives incluía seus nomes exibidos no sistema, conexões prováveis com outras pessoas, o número de usuários com correspondências de DNA, informações sobre origem, locais especificados pelo usuário, locais de nascimento de antepassados, sobrenomes, fotos de perfil. e muito mais. . Outros 1,4 milhão de usuários tiveram acesso a perfis de árvores genealógicas, dos quais foram roubados seus nomes de exibição, relacionamentos, anos de nascimento e locais especificados por esses usuários. No segundo banco de dados, entretanto, não houve grau de correspondência de DNA.
A 23andMe disse que continua notificando os usuários afetados pelo vazamento. A empresa passou a alertar os clientes sobre a necessidade de alteração de senhas e forçar a implementação da autenticação de dois fatores, que antes era opcional.