El fiscal general de California, Rob Bonta, presentó una demanda contra Chrome Holding Co., anteriormente conocida como 23andMe, por fallar en proteger información personal sensible y datos genéticos relacionados con la salud, predisposiciones genéticas, factores de riesgo, parientes biológicos, ascendencia y etnicidad de sus clientes, según informó la Oficina del Fiscal General de California.

La filtración de datos ocurrida en 2023 afectó a casi 7 millones de usuarios en Estados Unidos, incluidos 855.541 californianos, según la demanda presentada en el Tribunal Superior de San Francisco. La BBC solicitó comentarios a Chrome Holding, empresa que surgió después de que 23andMe se declarara en bancarrota el año pasado.

"23andMe recopiló datos genéticos de millones de personas, no cumplió con su obligación bajo la ley de California de mantener esa información segura y luego mintió a los consumidores sobre la gravedad de su filtración de datos de 2023", dijo Bonta. "Nuestra investigación encontró que la empresa no tomó medidas básicas para proteger los datos de los usuarios, datos que incluyen información personal sensible, historias familiares y condiciones de salud de los consumidores".

La investigación reveló que durante cinco meses, un actor de amenazas violó los sistemas de 23andMe sin ser detectado, accediendo a aproximadamente 14.000 cuentas de clientes. El atacante aprovechó ese acceso, junto con otras vulnerabilidades dentro de los sistemas de 23andMe, para obtener los datos de casi 7 millones de clientes de la empresa, según la Oficina del Fiscal General.

El atacante utilizó un tipo de ciberataque conocido como "credential stuffing" (relleno de credenciales), que explota la tendencia de los consumidores a usar contraseñas débiles o comunes, o a reutilizar credenciales de inicio de sesión. El actor de amenazas usó credenciales de cuenta robadas en filtraciones de datos anteriores, incluida la filtración altamente publicitada de MyHeritage, un sitio de genealogía separado que se había asociado con 23andMe, según la demanda.

Aunque el equipo de seguridad de datos de 23andMe estaba al tanto de la filtración de MyHeritage, y 23andMe había alentado a sus usuarios a crear una cuenta con MyHeritage, la empresa nunca verificó ni previno la reutilización de credenciales, incluso después de la filtración de datos de MyHeritage, según la investigación.

Una vez dentro de los sistemas de 23andMe, el atacante utilizó una vulnerabilidad que involucraba un error crítico de codificación en "DNA Relatives" (Parientes de ADN), una función que permitía a los clientes relacionados por ADN compartir información y contactarse entre sí, para robar información de identificación adicional, informes de ascendencia e informes que indicaban el porcentaje de ADN compartido con parientes potenciales de casi 7 millones de consumidores, según la Oficina del Fiscal General.

La noticia de la filtración de 23andMe salió a la luz después de que los datos de un millón de consumidores se ofrecieran a la venta en la web oscura, promocionando específicamente que los datos pertenecían a usuarios estadounidenses de origen asiático y del Pacífico (AAPI) y judíos, según Bonta. "Esto es perturbador e increíblemente peligroso" dado que ocurrió durante un período de "creciente odio y violencia anti-asiático-estadounidense y del Pacífico y antisemita", dijo el fiscal general.

La investigación de 2023 realizada por el Departamento de Justicia de California y una coalición multiestatal encontró que los procedimientos y prácticas de seguridad de datos previos a la filtración de 23andMe estuvieron por debajo de los estándares de seguridad e industria en varios aspectos. De hecho, las medidas de seguridad de 23andMe eran tan laxas que el actor de amenazas pudo operar sin ser detectado dentro de los sistemas de 23andMe durante más de cinco meses, y notablemente, la empresa solo comenzó a investigar después de que el actor de amenazas ofreciera los datos de usuario robados a la venta en la web oscura y se pusiera en contacto con 23andMe para exigir un rescate, según la demanda.

La investigación encontró que 23andMe no implementó autenticación multifactor obligatoria para todos los usuarios, no monitoreó adecuadamente sus sistemas en busca de actividad sospechosa, no implementó controles de seguridad apropiados para la función DNA Relatives, y no capacitó adecuadamente a su personal sobre prácticas de seguridad de datos, según la Oficina del Fiscal General.

Además, 23andMe hizo declaraciones engañosas antes y después de la filtración. Antes de la filtración, 23andMe promocionaba sus prácticas de seguridad como cumpliendo con los más altos estándares de la industria. Después de la filtración, las declaraciones de 23andMe omitieron información clave en un esfuerzo por ocultar y minimizar tanto la gravedad de la filtración como la responsabilidad de 23andMe por ella, según la demanda.

23andMe continuó informando a los consumidores que no hubo un incidente de seguridad de datos dentro de sus sistemas, a pesar de ser informada por el actor de amenazas durante las negociaciones de rescate sobre múltiples vulnerabilidades explotables dentro de los sistemas de 23andMe, incluidas vulnerabilidades que se utilizaron para facilitar el ataque, según la investigación.

Mientras 23andMe aseguraba públicamente al público que no había experimentado un incidente de seguridad de datos dentro de sus sistemas, minimizaba la sensibilidad de los datos robados al afirmar que la información robada de la función "DNA Relatives" era esencialmente pública, e intentaba trasladar la culpa de la filtración a sus clientes, 23andMe estaba simultáneamente negociando y pagando un rescate al actor de amenazas a cambio de, entre otras cosas, que el actor de amenazas eliminara información perjudicial sobre la filtración que se había publicado en línea y proporcionara información sobre múltiples vulnerabilidades de seguridad de 23andMe, incluidas las vulnerabilidades que el actor de amenazas explotó durante la filtración de datos, según la Oficina del Fiscal General.

En la demanda, Bonta argumenta que 23andMe no implementó ni mantuvo procedimientos y prácticas de seguridad razonables apropiados para la naturaleza de la información personal y los datos genéticos que mantenía para proteger esa información del acceso no autorizado. La queja también alega que la empresa hizo declaraciones falsas y engañosas con la intención de alentar a los miembros del público a usar los servicios o productos de 23andMe, incluidas declaraciones sobre sus medidas de seguridad vigentes en el momento de la filtración de datos y las circunstancias de la filtración de datos, según la demanda.

Estas fallas violaron, entre otras leyes, la Ley de Privacidad de Información Genética de California, la Ley de Seguridad de Datos Razonable, la Ley de Publicidad Falsa, la Ley de Competencia Desleal y la Ley de Privacidad del Consumidor de California, según la Oficina del Fiscal General.

La filtración de datos de 2023 ha resultado en escrutinio regulatorio internacional para la empresa. El año pasado, fue multada con 2,31 millones de libras esterlinas por la Oficina del Comisionado de Información (ICO), un organismo de control del Reino Unido, que alegó que 23andMe no implementó medidas adecuadas para asegurar los datos sensibles de los usuarios antes del incidente, según la BBC. El ICO dijo que se accedió a datos personales de 155.592 residentes del Reino Unido.

La investigación del ICO se realizó en coordinación con el comisionado de privacidad de Canadá y encontró que 23andMe violó la ley del Reino Unido al no implementar medidas apropiadas de autenticación y verificación para los clientes durante su proceso de inicio de sesión, según la BBC.

La empresa ha dicho que ha "hecho varios compromisos vinculantes para mejorar las protecciones para los datos y la privacidad de los clientes", según la BBC.

23andMe volvió a estar bajo escrutinio el año pasado cuando los usuarios informaron dificultades para eliminar sus cuentas después de que la empresa se acogiera a la protección por bancarrota del Capítulo 11 para venderse a través de un proceso supervisado por el tribunal. En ese momento, algunos usuarios expresaron preocupación por la posibilidad de que las compañías de seguros compraran sus datos y los usaran para determinar si proporcionar cobertura, según la BBC.

La demanda de hoy es independiente del desafío pendiente del fiscal general en el Tribunal de Bancarrota de Estados Unidos para el Distrito Este de Missouri con respecto a la venta de información genética y material de californianos en bancarrota, según la Oficina del Fiscal General.

23andMe fue cofundada por Anne Wojcicki, hermana de la fallecida directora ejecutiva de YouTube Susan Wojcicki y exesposa del cofundador de Google Sergey Brin. La empresa una vez contó con Snoop Dogg, Oprah Winfrey y Eva Longoria como clientes y vio el precio de sus acciones superar los 300 dólares en su punto máximo antes de colapsar en 2024, según la BBC.

Fundada en San Francisco, 23andMe fue la primera y una de las empresas de pruebas genéticas directas al consumidor más grandes del mundo. Los clientes enviaban sus muestras de saliva a 23andMe para análisis de ADN. La empresa almacenaba datos sobre la secuencia de ADN sin procesar de los consumidores y usaba esa información para proporcionar a los consumidores informes sobre su ascendencia, etnicidad y predisposiciones de salud genéticas, según la Oficina del Fiscal General.

El 6 de octubre de 2023, 23andMe confirmó que había sufrido una importante filtración de datos, según la demanda.