פרצת אבטחה ענקית ב-23andMe: תביעת ענק בקליפורניה מעלה שאלות קשות
עם עליית השימוש בטכנולוגיות מתקדמות ובדיקות גנטיות, שאלות על אבטחת מידע ופרטיות הופכות למרכזיות יותר מאי פעם. קליפורניה, המדינה שבה ממוקמים כמה מהתאגידים הגדולים בעולם, מתמודדת עם תביעה משמעותית נגד חברת 23andMe, בעקבות פרצת אבטחה חמורה בשנת 2023 שפגעה בכ-7 מיליון משתמשים בארצות הברית.
23andMe, כיום Chrome Holding Co., היא חברה שנוסדה כדי לספק ערכות בדיקות DNA למשתמשים פרטיים, שיאפשרו להם לגלות מידע על מוצאם, גורמי סיכון בריאותיים ועוד. עם זאת, התובע הכללי של קליפורניה, רוב בונטה, מאשים את החברה בכך שלא הגנה כראוי על המידע הרגיש של המשתמשים, אשר כולל נתונים גנטיים, מידע רפואי וקרובי משפחה ביולוגיים.
בונטה מדגיש כי האחריות להגן על הנתונים הגנטיים של המשתמשים נופלת על כתפי החברות שמחזיקות בהם. באירוע המדובר, האקרים הצליחו לגשת לחשבונות משתמשים באמצעות "credential stuffing" – מתקפה שבה עושים שימוש בפרטים גנובים מפרצות קודמות. אחת הדוגמאות שהובאו היא הפרצה באתר MyHeritage, אתר גנאלוגי נוסף שעבד עם 23andMe, אשר לא נקטה צעדים מספקים כדי למנוע שימוש בפרטים אלו שוב.
ההשלכות של פרצת האבטחה אינן מסתיימות כאן. לאחר שהאקרים הצליחו לפרוץ ל-14,000 חשבונות, הם ניצלו פגיעות בתכונת "קרובי משפחה DNA" כדי לגשת למידע של משתמשים נוספים. בונטה מציין שהאבטחה הרופפת של החברה אפשרה להאקרים לפעול ללא הפרעה במשך חמישה חודשים, עד שהחברה החלה לחקור את האירוע בעקבות מכירת הנתונים הגנובים ברשת האפלה ודרישות כופר.
בונטה מאשים את 23andMe בהטעיית לקוחותיה ובהפחתת חשיבות הנתונים שנגנבו, כאשר טענה שתכונת "קרובי משפחה DNA" הייתה "בעצם ציבורית". החברה גם ניהלה משא ומתן עם הגורמים הזדוניים שמכרו את המידע, שכלל נתונים על אמריקאים אסיאתיים ותושבי איים פסיפיים, וכן משתמשים יהודים – דבר שהתרחש בתקופה של עלייה בשנאה ואלימות כלפיהם.
הפרשה המטרידה הזו מדגישה את הצורך באבטחת מידע קפדנית יותר בעידן הדיגיטלי, במיוחד כאשר מדובר בנתונים כה רגישים. שאלות רבות נותרו פתוחות: עד כמה אנו יכולים לסמוך על החברות שמחזיקות במידע הגנטי שלנו? האם יש צורך ברגולציה מחמירה יותר בתחום? ואיך נוכל להבטיח את פרטיות המידע שלנו בעתיד?
[תמונה] Hacker accessing genetic data in a dimly lit room [/תמונה]
הכתבה הזו מעלה נקודות רבות לדיון. מה דעתכם על האחריות של חברות האוספות מידע גנטי? איך אתם מרגישים לגבי האבטחה של המידע האישי שלכם? שתפו את מחשבותיכם והצטרפו לדיון.