El Fiscal General Rob Bonta alega que Chrome Holding Co., sucesor de 23andMe, ignoró vulnerabilidades conocidas y engañó a los consumidores sobre la gravedad de la brecha.
Anadolu / Getty Images
Fiscal General de California Rob Bonta presentó una demanda el jueves contra Chrome Holding Co., la empresa anteriormente conocida como 23andMe, por una violación de datos en 2023 que expuso la información genética y personal de casi 7 millones de usuarios en los EE.UU., incluidos 855,541 californianos.
La denuncia, presentada en el Tribunal Superior de San Francisco, alega que 23andMe no implementó medidas de seguridad razonables, ignoró vulnerabilidades conocidas en sus sistemas y engañó a los consumidores sobre la gravedad de la violación. La demanda dice que la conducta de 23andMe violó la Ley de Privacidad de Información Genética de California, la Ley de Seguridad de Datos Razonables, la Ley de Publicidad Falsa, la Ley de Competencia Desleal y la Ley de Privacidad del Consumidor de California.
Los atacantes obtuvieron acceso al reciclar credenciales de inicio de sesión obtenidas de incidentes de seguridad anteriores en la web, entre ellos una violación previa de MyHeritage, una plataforma de genealogía que anteriormente se había asociado con 23andMe, logrando finalmente ingresar a aproximadamente 14,000 cuentas mediante esta técnica, conocida como 'credential stuffing'. Lo que hizo esto especialmente notable, según la denuncia, es que 23andMe no solo sabía del incidente de MyHeritage, sino que había dirigido activamente a sus propios clientes a crear cuentas en esa plataforma, sin tomar medidas para detectar o prevenir que esas mismas credenciales se reutilizaran para iniciar sesión en 23andMe.
Desde ese punto de entrada inicial de 14,000 cuentas comprometidas, el atacante aprovechó una falla en la función DNA Relatives — a través de la cual los usuarios podían conectarse con coincidencias genéticas — para alcanzar y extraer datos pertenecientes a cerca de 7 millones de personas en total. La información robada incluía datos genéticos en bruto, informes de ascendencia, predisposiciones de salud y detalles sobre parientes biológicos. En lugar de detectar la intrusión a través de su propio monitoreo, la empresa inició su investigación solo después de ser confrontada con la demanda de rescate del actor de la amenaza y la aparición de registros robados listados para la venta en línea, en cuyo punto el atacante había estado moviéndose libremente dentro de sus sistemas durante más de cinco meses.
Entre las otras acusaciones de la denuncia se encuentra que 23andMe participó en negociaciones encubiertas con el atacante sobre un pago de rescate incluso cuando públicamente negaba que hubiera ocurrido algún incidente de seguridad en sus sistemas. El conjunto de datos puesto a la venta se comercializó con llamadas explícitas a compradores potenciales de que incluía registros vinculados a individuos AAPI y judíos, un detalle de orientación que Bonta destacó como particularmente alarmante dado el aumento concurrente de crímenes de odio dirigidos a esas comunidades.
"23andMe recopiló datos genéticos sobre millones de personas, no cumplió con su obligación bajo la ley de California de mantener esa información segura, y luego mintió a los consumidores sobre la gravedad de su violación de datos en 2023," dijo Rob Bonta en un comunicado.
La demanda busca sanciones civiles e interdictos contra más violaciones de privacidad. Esta acción civil corre paralela a una intervención separada que Bonta ha montado en los procedimientos de quiebra de la compañía, donde ha buscado bloquear la transferencia de datos genéticos de californianos a cualquier comprador que surja del proceso del Capítulo 11. Un caso separado de acción colectiva presentado por los clientes afectados se resolvió cuando el pago total se incrementó a $50 millones — en comparación con una cifra inicial de $30 millones — con un juez federal de quiebras aprobando esa cantidad final a principios de este año, según ABC Noticias.
Únete a más de 500.000 lectores que comienzan su día con Quartz.
Al suscribirte, aceptas nuestros Términos de servicio y Política de privacidad.
