اختراق 23andMe لتحليل الحمض النووى وبيع بيانات ملايين المستخدمين على "الإنترنت المظلم"

أكدت شركة 23andMe، وهي شركة للتكنولوجيا الحيوية متخصصة في تقديم خدمات تحليل الحمض النووي، تعرضها للاختراق وسرقة البيانات من قاعدة بياناتها وتعميمها على منتديات الويب المظلم، بعد أن تمكن المتسللون من الوصول إلى الحسابات.

كشفت BleepingComputer أن أحد المتسللين سرب ما قالوا إنه “مليون سطر من البيانات”، قبل أن يقول إنهم سيبيعون بيانات 23andMe المسروقة مقابل دولار واحد إلى 10 دولارات لكل حساب. تتضمن البيانات أسماء المستخدمين وصور الملفات الشخصية ونتائج النسب الجيني وتاريخ الميلاد والموقع الجغرافي.

وأكدت الشركة لـ BleepingComputer أن البيانات مشروعة في بيان شاركته أيضًا في رسالة بريد إلكتروني إلى The Verge. في البيان، كتب مدير 23andMe سكوت هادلي أن “النتائج الأولية لهذا التحقيق تشير إلى أن بيانات اعتماد تسجيل الدخول المستخدمة في محاولات الوصول هذه ربما تم جمعها من خلال التهديد بالتهديد من البيانات المسربة أثناء الحوادث التي تنطوي على منصات أخرى عبر الإنترنت حيث قام المستخدمون بإعادة تدوير بيانات اعتماد تسجيل الدخول”.

وأضاف أنه لا يوجد ما يشير إلى “حادث أمني داخل أنظمتنا”، وأفاد موقع BleepingComputer أنه تم استخراج بيانات المستخدمين الآخرين باستخدام إحدى ميزات الاشتراك في 23andMe، والتي تسمى “DNA Relatives”.

تفاصيل الاختراق

يتضمن “هجوم حشو بيانات الاعتماد” معلومات المستخدم المخترقة بالفعل (أسماء المستخدمين وكلمات المرور، على سبيل المثال) من مؤسسة واحدة، والتي يحصل عليها المتسلل ويحاول إعادة استخدامها مع مؤسسة ثانية، في هذه الحالة 23andMe.

يبدو أن مرتكبي هذا الهجوم قد حصلوا على معلومات حساسة للغاية من الحسابات المخترقة (نتائج الاختبارات الجينية والصور والأسماء الكاملة والموقع الجغرافي، من بين أمور أخرى)، وتم عرض البيانات للبيع بكميات كبيرة، بزيادات قدرها 100، 1000. ، 10000 أو 100000 ملف تعريف وأحجام. لم يُعرف الهجوم بعد، ولكن من المحتمل أن يكون نطاق تأثيره قد تفاقم بسبب ميزة “DNA Relatives” الخاصة بشركة 23andMe.

وتقول الشركة: “يتم التعرف على الأقارب من خلال مقارنة الحمض النووي الخاص بك مع الحمض النووي لأعضاء 23andMe الآخرين الذين يشاركون في ميزة DNA Relatives”. بعد الوصول إلى عدد غير معروف من الملفات الشخصية عبر حشو بيانات الاعتماد، يبدو أن جهة التهديد التي تقف وراء هذا الاختراق حذفت نتائج “أقارب الحمض النووي” لتلك الملفات الشخصية، مما أدى إلى بيانات أكثر حساسية، وفقًا لنفس صفحة الأسئلة الشائعة.

منذ طرح شركة 23andMe للاكتتاب العام في عام 2021، واجهت الشركة تدقيقًا إضافيًا لممارسات حماية البيانات الخاصة بها – وهي محقة في ذلك، لأنها تتعامل مع البيانات الطبية الحساسة المستمدة من عينات اللعاب، بما في ذلك الاستعداد للإصابة بأمراض مثل مرض الزهايمر والسكري من النوع الثاني وحتى السرطان. . تدعي الشركة على موقعها على الإنترنت أنها “تتجاوز” معايير حماية البيانات الخاصة بصناعتها.