Genetik test 23andMe şirketi Cuma günü kullanıcılarının bir alt kümesinden gelen verilerin ele geçirildiğini doğruladı. Şirket, sistemlerinin ihlal edilmediğini ve saldırganların bir grup kullanıcının oturum açma bilgilerini tahmin ederek verileri topladığını ve ardından DNA Akrabaları olarak bilinen bir özellikten daha fazla kişinin bilgisini kazıdığını söyledi. Kullanıcılar, başkalarının görmesi için bilgilerini DNA Akrabaları aracılığıyla paylaşmayı tercih ediyor.
Bilgisayar korsanları bu hafta başında BreachForums platformunda ilk veri örneğini yayınladı ve bunun yalnızca Aşkenaz Yahudileri hakkında 1 milyon veri noktası içerdiğini iddia etti. Çarşamba günü aktör, 23andMe profilleri olduğunu iddia ettiği profilleri satın almanın büyüklüğüne bağlı olarak hesap başına 1 ila 10 dolar arasında satmaya başladı. Veriler, görünen ad, cinsiyet, doğum yılı gibi şeyleri ve birinin “genel olarak Avrupalı” veya “genel olarak Arap” kökenli olduğu gibi genetik ata sonuçlarıyla ilgili bazı ayrıntıları içeriyor. Ayrıca bazı daha spesifik coğrafi soy bilgilerini de içerebilir. Bilgilerin gerçek, ham genetik verileri içermediği görülüyor.
Şirket yaptığı açıklamada sistemlerinin ihlal edildiğine dair kanıt görmediğini vurguladı. Ayrıca, saldırganların diğer veri ihlallerinde açığa çıkan oturum açma kimlik bilgilerini kullanarak bireysel hesaplarının güvenliğini ihlal etmesini önlemek için kullanıcıları güçlü, benzersiz parolalar kullanmaya ve iki faktörlü kimlik doğrulamayı etkinleştirmeye teşvik etti.
Şirket yaptığı açıklamada, “Bazı 23andMe müşteri profili bilgilerinin bireysel 23andMe.com hesaplarına erişim yoluyla derlendiği konusunda bilgilendirildik” dedi. “Tehdit aktörünün hizmet şartlarımızı ihlal ederek 23andme.com hesaplarına yetkisiz olarak erişmiş ve bu hesaplardan bilgi almış olabileceğine inanıyoruz.”
Şirket, tehdit aktörünün sızdırdığı verileri doğrulayıp doğrulamadığı konusunda net bir bilgi vermedi, soruşturmanın devam ettiğini ve şu anda “ön sonuçlar”a sahip olduğunu belirtti. Şirketin bir sözcüsü WIRED’e, sızdırılan bilgilerin bazı kullanıcı hesaplarının açığa çıktığı ve daha sonra DNA Akrabalarında görünen verileri kazımak için kullanıldığı bir durumla tutarlı olduğunu söyledi. Ancak verilerin doğrulanıp doğrulanmadığına ilişkin ayrıntılar sorulduğunda sözcü, verilerin doğrulanmasının beklemede olduğunu ve şirketin şu anda sızdırılan bilgilerin gerçek olup olmadığını doğrulayamayacağını söyledi.
Bu nokta hem bilgilerinin ele geçirilmiş olabileceği herkes açısından hem de aktörün yayınladığı verilerin “ünlüleri” içerdiğini iddia etmesi açısından önemli. Teknoloji uzmanları Mark Zuckerberg, Elon Musk ve Sergey Brin’in “Profil Kimliği”, “Hesap Kimliği”, ad, cinsiyet, doğum yılı, mevcut konum ve “ydna” ve “olarak bilinen alanlar dahil olmak üzere girişlerinin tamamı örnek verilerde görülüyor” nana.” Bu girişlere ilişkin verilerin yasal olup olmadığı veya eklenip eklenmediği belli değil. Örneğin Musk ve Brin’in sızıntıda aynı profil ve hesap kimliklerine sahip olduğu görülüyor.