دسترسی هکرها به اطلاعات ژنتیکی میلیون ها نفر

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، بایگانی کمیسیون بورس و اوراق بهادار ایالات متحده (SEC) جزئیات بیشتری را در مورد سرقت داده‌ای که کاربران شرکت آمریکایی 23 اند می (23andMe) را تحت تأثیر قرار داد و اوایل پاییز امسال فاش شد، اعلام کرد.

این شرکت بیان کرد که تحقیقاتش نشان می‌دهد که هکرها می‌توانند به حساب‌های تقریباً 0.1 درصد از پایگاه کاربران یا حدود 14 هزار نفر از 14 میلیون مشتری کل آن دسترسی داشته باشند.

علاوه بر این، مهاجمان توانستند از ویژگی دی ان ای انتخابی اقوام این شرکت سوء استفاده کنند که کاربران را با بستگان ژنتیکی آنها مطابقت می دهد تا به اطلاعات میلیون ها کاربر دیگر دسترسی پیدا کنند.

یکی از سخنگویان 23 اند می بیان کرد که هکرها از این طریق به پروفایل تقریباً 5.5 میلیون مشتری، به علاوه اطلاعات نمایه درخت خانوادگی (Family Tree) از 1.4 میلیون شرکت کننده در پروژه دی ان ای اقوام (DNA Relative) دسترسی پیدا کردند.

نمایه‌های ویژگی دی ان ای انتخابی اقوام حاوی جزئیات حساسی از جمله اطلاعات گزارش‌شده توسط خود افراد مانند نام‌ها و مکان‌های نمایشی، و همچنین درصدهای دی ان ای مشترک برای تطابق اقوام، نام‌های خانوادگی، روابط پیش‌بینی‌شده و گزارش‌های تبار است.

نمایه‌های درخت خانواده حاوی نام‌های نمایشی و برچسب‌های روابط، به‌علاوه اطلاعات دیگری است که کاربر ممکن است انتخاب کند، از جمله سال تولد و مکان.

هنگامی که این سرقت داده برای اولین بار در اکتبر فاش شد، این شرکت گفت که تحقیقاتش نشان داده است که هیچ نتیجه آزمایش ژنتیکی به بیرون درز نکرده است.

بر اساس پرونده جدید، داده ها به طور کلی شامل اطلاعات نسبی و برای زیرمجموعه ای از این حساب ها، اطلاعات مربوط به سلامت بر اساس ژنتیک کاربر است.

همه اینها از طریق یک حمله پر کردن اعتبار به دست آمد، که در آن هکرها از اطلاعات ورود به سیستم از سایر وب‌سایت‌هایی که قبلاً در معرض خطر بودند برای دسترسی به حساب‌های آن کاربران در سایت‌های دیگر استفاده کردند.

در بیانیه این شرکت آمده است:

عامل تهدید همچنین به تعداد قابل توجهی از فایل‌های حاوی اطلاعات نمایه در مورد تبار سایر کاربران دسترسی پیدا کرد که این کاربران هنگام شرکت در پروژه دی ان ای اقوام شرکت 23 اند می، ترجیح دادند به اشتراک بگذارند و اطلاعات خاصی را به صورت آنلاین پست کردند.

پس از کشف این سرقت داده، شرکت 23 اند می به کاربران تحت تاثیر این حمله سایبری دستور داد تا رمز عبور خود را تغییر دهند و بعداً احراز هویت دو مرحله‌ای را برای همه مشتریان خود ارائه کرد.

در به‌روزرسانی دیگری در روز جمعه، این شرکت افزود که تحقیقات را تکمیل کرده است و به همه کسانی که تحت تأثیر قرار گرفته‌اند اطلاع رسانی خواهد کرد.

این شرکت همچنین در پرونده نوشت که معتقد است که فعالیت عامل تهدید مهار شده است و در تلاش است تا اطلاعات منتشر شده عمومی را حذف کند.