Британският надзорен орган по защита на личните данни (ICO) наложи глоба от 2.31 милиона паунда (около 3.12 милиона долара) на 23andMe – една от водещите компании за генетични тестове, заради „сериозни пропуски в сигурността“, довели до тежък пробив в личните данни през 2023 г.
Според регулатора, компанията не е успяла да защити адекватно изключително чувствителна информация, включително генетични профили, здравни доклади и лични данни на британски граждани. Пробивът е станал чрез атаки с крадени пароли (credential stuffing), като атакуващите са използвали вече изтекли логини и са останали незабелязани в продължение на пет месеца – между април и септември 2023 г.
„Това беше изключително вреден инцидент, който засегна фамилна история, здравословно състояние и лична информация на хиляди хора във Великобритания,“ заяви Джон Едуардс, британският комисар по информацията.
„Както един от пострадалите сподели: след като подобна информация изтече, тя не може да бъде променена като парола или кредитна карта.“
Масивен теч на ДНК и лични данни
След като пробивът беше открит, стана ясно, че част от откраднатите данни са публикувани в подфорума на Reddit, посветен на 23andMe, както и в известния хакерски форум BreachForums. Изтеклата информация включва данни за 4.1 милиона души от Обединеното кралство и Германия, както и за над 1 милион души с ашкеназийски произход – етническа група с еврейски корени, често обект на специфични генетични изследвания.
След инцидента, 23andMe въведе допълнителни защитни мерки, включително задължителна двуфакторна автентикация и принудително нулиране на паролите за всички засегнати потребители.
ICO: Глобата е съобразена с насоките за санкции
При определяне на размера на глобата, ICO заявява, че е взела предвид официалните възражения и обяснения на компанията:
„Сумата беше определена в съответствие с нашето ръководство за налагане на глоби, където е описан максималният възможен размер на санкцията“, обясни говорител на ICO.
Финансов колапс и съдебни дела
Тази глоба идва в особено труден момент за 23andMe. През март 2025 г. компанията подаде заявление за фалит по Глава 11 в САЩ, като обяви, че планира продажба на активите си, след няколко години с финансови затруднения.
През септември 2024 г. компанията се съгласи да заплати 30 милиона долара, за да уреди групов съдебен иск, свързан с пробива от 2023 г., при който бяха засегнати 6.4 милиона потребители по целия свят. Междувременно, през ноември 2023 г., 23andMe промени условията си за ползване, така че да затрудни бъдещи съдебни претенции срещу себе си – според тях това е с цел улесняване на процеса по арбитраж, но критиците го нарекоха „правен щит“ срещу пострадалите клиенти.
