Гигантът в областта на ДНК тестовете 23andMe се съгласи да плати 30 млн. долара за уреждане на съдебно дело във връзка с нарушаване на сигурността на данните, при което през 2023 г. е била разкрита личната информация на 6,4 млн. клиенти.

Предложеното споразумение за колективен иск, подадено в четвъртък във федерален съд в Сан Франциско и очакващо съдебно одобрение, включва парични плащания за засегнатите клиенти, които ще бъдат разпределени в рамките на десет дни след окончателното одобрение.

„23andMe смята, че споразумението е справедливо, адекватно и разумно“, заяви компанията в меморандум, подаден в петък.

23andMe също така се съгласи да засили своите протоколи за сигурност, включително защити срещу атаки с подправяне на данни, задължителна двуфакторна автентификация за всички потребители и годишни одити на киберсигурността.

Компанията трябва също така да създаде и поддържа план за реакция при инциденти с нарушаване на сигурността на данните и да спре да съхранява лични данни за неактивни или деактивирани акаунти. Актуализираната програма за информационна сигурност ще бъде предоставена и на всички служители по време на годишните обучения.

„23andMe отрича исковете и твърденията, изложени в жалбата, отрича да не е успяла да защити по подходящ начин личните данни на своите потребители и ползватели и освен това отрича жизнеспособността на претенциите на представителите на групата за уреждане на спора за законови обезщетения“, заяви компанията в подаденото предварително споразумение.

„23andMe отрича да е извършило каквото и да е нарушение и настоящото споразумение в никакъв случай няма да се тълкува или счита за доказателство, признание или отстъпка от страна на 23andMe по отношение на каквото и да е твърдение за вина или отговорност, нарушение или вреда.“

Това споразумение е в отговор на твърденията, че компанията за генетични тестове не е успяла да защити неприкосновеността на личния живот на потребителите и е пропуснала да информира клиентите, че хакерите са се насочили специално към тях и според съобщенията тяхната информация е била предложена за продажба в тъмната мрежа.

Данни, откраднати след атака с попълване на идентификационни данни

През октомври 2023 г. 23andMe разкри, че неоторизиран достъп до клиентски профили е станал чрез компрометирани акаунти. Хакерите са използвали идентификационни данни, откраднати от други пробиви, за да получат достъп до акаунти в 23andMe.

След като откри нарушението, компанията въведе мерки за блокиране на подобни инциденти, включително изискване към клиентите да възстановят паролите си и включване на двуфакторна автентификация по подразбиране от ноември.

От октомври хакери  публикуваха профили с данни, принадлежащи на 4,1 млн. лица в Обединеното кралство и 1 млн. евреи ашкенази, в неофициалния подредит на 23andMe и в хакерски форуми като BreachForums.

През декември 23andMe съобщи, че при пробива са били изтеглени данни за 6,9 млн. клиенти, включително информация за 6,4 млн. жители на САЩ.

През януари компанията също така потвърди, че нападателите са откраднали здравни доклади и необработени данни за генотипа в рамките на петмесечна атака за подмяна на идентификационни данни от април до септември.

Нарушаването на сигурността на данните доведе до множество колективни съдебни дела, което накара 23andMe да измени своите Условия за ползване през ноември 2023 г. – ход, критикуван от клиентите. По-късно компанията поясни, че промените са имали за цел да опростят арбитражния процес.