DNA 検査: 遺伝子データがハッキングされたらどうなりますか?

23andMe のデータ侵害のニュースが最初に流れたとき、反応は比較的穏やかでした。ユダヤ人団体の注目は、その週末にハマスがイスラエルに対して開始した攻撃に集中していました。 反ユダヤ主義憎悪事件の増加 その後の数週間で。 ハッキング フォーラムを監視しているテクノロジー ジャーナリストが 23andMe にコメントを求め、同社は 声明。 生の遺伝子データは漏洩していなかったが、性別、誕生年、遺伝的祖先結果、地理的位置などの一般的なカテゴリが、いわゆる「脅威アクター」の手に渡ったと彼らは述べた。

23andMeさんにインタビューをお願いしました。 彼らは誰かを推薦することを拒否し、その代わりに、データ侵害のニュースが最初に報道されて以来、彼らが更新し続けている彼らのウェブサイトに掲載されたブログに私を誘導した。 23andMeの声明では、「攻撃者がクレデンシャルスタッフィングを通じてアクセスできたのは、23andMeの既存顧客1400万人のうち0.1％未満、つまり約1万4000のユーザーアカウントだった」としている。 「つまり、23andMe.com で使用されたユーザー名とパスワードは、以前に侵害されたか、その他の方法で入手可能な他の Web サイトで使用されていたものと同じでした。」 言い換えれば、問題は 23andMe の顧客がハッカーが他のサイトから入手したパスワードを再利用していたことにありました。

Credential Stuffing は、最も厳密な意味ではハッキングではありません。 「ユーザー名とパスワード、電子メール アドレスとパスワードなどの盗んだログイン資格情報を使用して、攻撃者がアカウントの正面玄関に侵入するのです。つまり、実際のところ、ハッキングは必要ありません」とニューマン氏は言います。 「しかし、パスワードはユーザーにとって管理が非常に難しく、その責任をユーザーに負わせるべきではないということが実際に確立されています。」

23andMe のハッキングには、同社が当初侵害されたと主張していた 14,000 アカウントよりもはるかに多くのアカウントが関与していることが判明しました。 これらのアカウントに侵入すると、ハッカーは、アカウント所有者が遺伝的関係を結び付けることができる 23andMe の DNA Relatives 機能を通じて、はるかに大量のデータを収集することができました。 これは人気のある機能なので、結局のところ、多くの人がこれらのテストを受けるのです。 2023年12月にTechCrunchでジャーナリストからの問い合わせに応じて、 23アンドミーは認めた 実際、690 万人のユーザー (DNA を同社に送信したおよそ 2 人に 1 人) のデータが侵害されていたことがわかりました。

データベースに非常に機密性の高い情報が保存されている場合、通常、その情報にアクセスするには複数のパスワードが必要になります。たとえば、オンライン銀行口座にログインすることを考えてください。 私たちのほとんどは現在、クレジット カードを使用したり、機密文書をオンラインで閲覧したりする際に、テキスト メッセージや認証アプリで受信したコードなどの追加手順を使用する 2 要素認証に非常に慣れています。 しかし、2023 年 10 月以前は、23andMe のアカウントに地理的および伝記情報と組み合わせた遺伝的祖先データが保持されていたとしても、これはアカウントにアクセスするための必須要件ではありませんでした。

しかし、在宅DNA検査会社がデータベースをハッキングされたのはこれが初めてではない。 2018 年には、MyHeritage の 9,200 万人を超えるユーザーの電子メール アドレスとパスワードが 漏れた。 しかし、2023 年 10 月の 23andMe 侵害は、ハッカーがデータを販売に提供した初めての事件でした。 昨年、アメリカの連邦取引委員会は、消費者直販の DNA 検査会社 2 社に対して訴訟を起こしました。 CRIジェネティクス そして 1健康/ビタミン、 DNAデータの安全性を確保できなかったとして。

動機に関係なく、遺伝子データに関係する侵害は広範囲にわたる影響をもたらす可能性があります。 「現在誰がアクセスしているのか、何人の人がアクセスしているのか、将来的にどのように利用するのかを知る方法はありません」とキャロウ氏は言う。 「多くの場合、遺伝子データは健康への影響を示唆しており、それはその人の長期的な雇用適性に影響を与えたり、おそらく早死にしたり衰弱性の病気に罹ったりする可能性に影響を与える可能性があります。潜在的に、このデータは雇用主や企業にとって興味深いものになる可能性があります。」保険会社。」