Hacker vaza mais milhões de registros de usuários da 23andMe em fórum de cibercrime

• Um hacker chamado Golem vazou centenas de milhares de registros adicionais de usuários da empresa de testes genéticos 23andMe em um fórum de cibercrime chamado BreachForums.
• Este é o segundo grande vazamento da 23andMe nas últimas semanas, e o mesmo hacker já havia vazado anteriormente uma quantidade significativa de dados de usuários.
• O novo conjunto de dados vazado supostamente inclui registros de 4 milhões de usuários, incluindo pessoas ricas do Reino Unido, dos Estados Unidos e da Europa Ocidental.
• A 23andMe reconheceu o vazamento e está verificando a autenticidade dos dados.
• A empresa havia dito anteriormente que o vazamento inicial foi causado por uma técnica de credential stuffing que usava combinações de nome de usuário ou e-mail com senha obtidas em outros vazamentos de dados.
• Em resposta a esses vazamentos, a 23andMe pediu aos usuários que troquem suas senhas e ativem a autenticação multifator.
• A empresa iniciou uma investigação com a ajuda de especialistas forenses terceirizados.
• Ainda não está claro quantos dados de usuários foram roubados no total, nem como os hackers planejam usar os dados roubados.
• Um hacker de outro fórum de cibercrime chamado Hydra afirmou anteriormente ter 300 terabytes de dados de usuários da 23andMe, mas essa alegação ainda não foi confirmada.
• A extensão total do vazamento de dados ainda é desconhecida, e também não está claro quanto dado foi levado.

[GN⁺]

Comentários do Hacker News

• Artigo sobre a violação de dados da 23andMe, na qual registros de milhões de usuários foram vazados em um fórum de cibercrime
• A 23andMe atribuiu o incidente à reutilização de senhas e ao recurso opcional DNA Relatives, que permite aos usuários ver dados de outros usuários com correspondência genética.
• Os comentaristas criticaram a 23andMe por culpar os clientes, argumentando que a empresa deveria ter implementado medidas de segurança melhores.
• Alguns apontaram que as opções de compartilhamento dentro do programa DNA Relatives carecem de granularidade e que o limite de visualização dos 1.500 correspondentes mais próximos pode ter permitido que hackers coletassem dados da maioria das pessoas no banco de dados.
• Outros lamentaram ter usado a 23andMe devido a preocupações com privacidade e à falta de confiança nas práticas de tratamento de dados da empresa.
• Também houve comentários sobre a falha da empresa em detectar o vazamento de 300 TB de dados de clientes, e alguns consideraram isso negligência.
• Alguns usuários sugeriram que a 23andMe deveria ter exigido autenticação de dois fatores (2FA) ou usado Google Single Sign-On (SSO) para reforçar a segurança.
• Um pequeno número de usuários compartilhou que usou nomes falsos e endereços de e-mail descartáveis ao enviar seus resultados para a 23andMe.
• Também houve menções a incidentes relacionados e processos judiciais sobre a violação de dados da 23andMe.