تقوم هيئات مراقبة الخصوصية في المملكة المتحدة وكندا بالتحقيق في خرق بيانات 23andMe

أطلقت هيئات مراقبة الخصوصية في المملكة المتحدة وكندا تحقيقًا مشتركًا في خرق البيانات في 23andMe العام الماضي.

يوم الاثنين، أعلن مكتب مفوض المعلومات في المملكة المتحدة (ICO) ومكتب مفوض الخصوصية الكندي (OPC) عن تحقيقهما في شركة الاختبارات الجينية، قائلين إن المنظمتين ستستفيدان من “الموارد والخبرات المشتركة لمكتبيهما”. “.

في العام الماضي، كشفت شركة 23andMe عن حادث أمني أثر على البيانات الوراثية وبيانات النسب لـ 6.9 مليون مستخدم، أو ما يقرب من نصف قاعدة مستخدميها الإجمالية. وفي إشعارات اختراق البيانات، قالت الشركة إنها لم تكتشف أنشطة المتسللين لمدة خمسة أشهر تقريبًا، من أبريل حتى سبتمبر 2023. وقالت 23andMe إنها علمت بانتهاكات الحساب فقط في أكتوبر 2023، عندما أعلن المتسللون عن البيانات المسروقة على موقع 23andMe الفرعي غير الرسمي ومنتدى القرصنة المعروف.

وتضمنت البيانات المسروقة اسم الشخص، وسنة ميلاده، وتسميات العلاقة، ونسبة الحمض النووي المشترك مع الأقارب، وتقارير النسب، والموقع المبلغ عنه ذاتيًا.

اخترق المتسللون حوالي 14000 حساب لعملاء 23andMe من خلال إعادة استخدام كلمات المرور الخاصة بهم من الانتهاكات السابقة، وهي تقنية تعرف باسم رش كلمة المرور. من بين تلك الحسابات البالغ عددها 14000، تمكن المتسللون من استخراج معلومات عن ملايين الأشخاص الآخرين بسبب ميزة الاشتراك التي تسمى DNA Relatives، والتي سمحت للمستخدمين بمشاركة بعض بياناتهم تلقائيًا مع أشخاص آخرين اختاروا الاشتراك أيضًا، مع الهدف هو الكشف عن الأقارب البعيدين. وبهذه الطريقة تمكن المتسللون من جمع معلومات عن 6.9 مليون مستخدم من خلال اختراق 14000 حساب فقط.

وفي بيان، نُقل عن مفوض ICO جون إدواردز قوله إن الناس “بحاجة إلى الثقة في أن أي منظمة تتعامل مع معلوماتهم الشخصية الأكثر حساسية لديها الأمان والضمانات المناسبة”.

وقال إدواردز: “كان لخرق البيانات هذا تأثير دولي، ونحن نتطلع إلى التعاون مع نظرائنا الكنديين لضمان حماية المعلومات الشخصية للأشخاص في المملكة المتحدة”.

وسينظر التحقيق المشترك بين المملكة المتحدة وكندا في نطاق المعلومات المكشوفة والضرر المحتمل الذي قد يلحق بالضحايا؛ وما إذا كانت شركة 23andMe “لديها ضمانات كافية” لحماية البيانات الحساسة للمستخدمين؛ وما إذا كانت 23andMe “قدمت إخطارًا مناسبًا” إلى ICO وOPC.

ولم يستجب المتحدثون باسم 23andMe على الفور لطلب التعليق.