Generalstaatsanwalt Rob Bonta behauptet, dass die Chrome Holding Co., der Nachfolger von 23andMe, bekannte Schwachstellen ignoriert und Verbraucher über die Schwere des Datenlecks getäuscht habe.
Anadolu / Getty Images
Californiens Generalstaatsanwalt Rob Bonta reichte eine Klage ein am Donnerstag gegen Chrome Holding Co., das Unternehmen, das früher als 23andMe bekannt war, wegen eines Datenlecks im Jahr 2023, bei dem die genetischen und persönlichen Informationen von fast 7 Millionen Nutzern in den USA, darunter 855.541 Kalifornier, preisgegeben wurden.
Die in San Francisco Superior Court eingereichte Beschwerde behauptet, dass 23andMe es versäumt hat, angemessene Sicherheitsmaßnahmen zu ergreifen, bekannte Schwachstellen in seinen Systemen ignoriert und Verbraucher über das Ausmaß des Datenlecks getäuscht hat. Die Klage besagt, dass das Verhalten von 23andMe gegen das kalifornische Gesetz zum Schutz genetischer Informationen, das Gesetz zur angemessenen Datensicherheit, das Gesetz gegen falsche Werbung, das Gesetz gegen unlauteren Wettbewerb und das kalifornische Verbraucherdatenschutzgesetz verstoßen hat.
Angreifer erhielten Zugang, indem sie Anmeldedaten wiederverwendeten, die von früheren Sicherheitsvorfällen an anderer Stelle im Web gesammelt wurden - darunter ein früherer Kompromiss von MyHeritage, einer Genealogieplattform, die zuvor mit 23andMe zusammengearbeitet hatte - und brachen letztendlich in etwa 14.000 Konten durch diese Technik ein, die als Credential Stuffing bekannt ist. Besonders bemerkenswert ist laut der Beschwerde, dass 23andMe nicht nur über den MyHeritage-Vorfall informiert war, sondern seine eigenen Kunden aktiv dazu ermutigte, Konten auf dieser Plattform zu erstellen - es aber keine Maßnahmen ergriff, um zu verhindern, dass dieselben Anmeldedaten erneut verwendet werden, um sich bei 23andMe anzumelden.
Von diesem anfänglichen Standpunkt von 14.000 kompromittierten Konten aus nutzte der Angreifer eine Schwachstelle im DNA-Verwandtschaftsmerkmal - durch das sich Benutzer mit genetischen Übereinstimmungen verbinden konnten - um Daten von insgesamt fast 7 Millionen Menschen zu erreichen und zu extrahieren. Die gestohlenen Informationen umfassten rohe genetische Daten, Abstammungsberichte, Gesundheitsdispositionen und Details über biologische Verwandte. Anstatt den Einbruch durch ihre eigene Überwachung zu erkennen, startete das Unternehmen seine Untersuchung erst, nachdem es mit der Lösegeldforderung des Bedrohungsakteurs konfrontiert wurde und die gestohlenen Aufzeichnungen online zum Verkauf angeboten wurden - zu diesem Zeitpunkt bewegte sich der Angreifer bereits seit mehr als fünf Monaten frei in seinen Systemen.
Unter den weiteren Anschuldigungen der Beschwerde ist, dass 23andMe geheime Verhandlungen mit dem Angreifer über eine Lösegeldzahlung führte, während es öffentlich bestritt, dass ein Sicherheitsvorfall in seinen Systemen stattgefunden hatte. Der zum Verkauf angebotene Datensatz wurde mit expliziten Hinweisen an potenzielle Käufer vermarktet, dass er Aufzeichnungen enthielt, die mit AAPI- und jüdischen Personen verbunden waren - ein Zielmerkmal, das Bonta als besonders alarmierend bezeichnete, angesichts der gleichzeitigen Zunahme von Hassverbrechen gegen diese Gemeinschaften.
"23andMe sammelte genetische Daten über Millionen von Menschen, erfüllte nicht seine Verpflichtung nach kalifornischem Recht, diese Informationen sicher zu halten, und log dann gegenüber den Verbrauchern über das Ausmaß seines Datenlecks 2023", sagte Rob Bonta in einer Erklärung.
Die Klage fordert zivilrechtliche Strafen und Verfügungen gegen weitere Datenschutzverletzungen. Diese Zivilklage läuft parallel zu einem separaten Eingreifen, das Bonta in den Insolvenzverfahren des Unternehmens eingeleitet hat, wo er versucht hat, die Übertragung genetischer Daten von Kaliforniern an jeden Käufer zu blockieren, der aus dem Chapter-11-Prozess hervorgeht. Ein separater Sammelklagefall, der von betroffenen Kunden eingereicht wurde, wurde beigelegt, als die Gesamtauszahlung auf 50 Millionen US-Dollar erhöht wurde – gegenüber einer anfänglichen Summe von 30 Millionen US-Dollar – wobei ein Bundesinsolvenzrichter diesen Endbetrag Anfang dieses Jahres genehmigte, laut ABC Nachrichten.
Schließen Sie sich über 500.000 Lesern an, die ihren Tag mit Quartz beginnen.
Mit dem Abonnieren stimmen Sie unseren Nutzungsbedingungen und unserer Datenschutzrichtlinie zu.
