23andMe、ハッカーが690万人の祖先データを盗んだことを確認

 (techcrunch.com)
1 ポイント 投稿者 GN⁺ 2023-12-06 | 1件のコメント | WhatsAppで共有

23andMeハッキング事件: 690万人の祖先データ盗難を確認

  • 遺伝子検査会社23andMeは、ハッカーが顧客の個人データにアクセスし、約1万4,000人分の個人情報と、ほかのユーザーの祖先に関するプロフィール情報を含む相当数のファイルにアクセスしたと発表した。
  • ハッカーは、23andMeのDNA親族機能に同意した約550万人分の個人情報にアクセスしており、盗まれたデータには氏名、出生年、親族関係ラベル、親族と共有するDNAの割合、祖先レポート、自己申告の所在地が含まれる。
  • また、DNA親族機能に同意した約140万人のユーザーについても家系図プロフィール情報がアクセスされ、これには表示名、親族関係ラベル、出生年、自己申告の所在地、情報共有の有無が含まれる。

ハッカーフォーラムでのデータ流出広告

  • 10月初旬、あるハッカーが有名なハッキングフォーラムで23andMeユーザーのDNA情報を盗んだと主張し、アシュケナージ系ユダヤ人の子孫100万人分と中国人ユーザー10万人分のデータを公開し、個別アカウントのデータに対して1ドルから10ドルを要求した。
  • その後、同じハッカーが同じフォーラムで追加の400万人分の記録を宣伝し、TechCrunchは別のハッカーがすでに2カ月前、別のハッキングフォーラムで盗まれた23andMe顧客データを宣伝していたことを発見した。
  • TechCrunchが分析した数カ月前に流出したデータは、趣味で遺伝学情報をオンラインに投稿していた人々の記録と一致する部分があり、ハッカーが流出させたデータが少なくとも部分的には本物の23andMe顧客データであることを示唆している。

パスワード再利用によるデータ流出

  • 23andMeは10月に公表したインシデント開示で、データ流出は顧客がパスワードを再利用したことによって発生したと明らかにした。
  • ハッカーは、他社のデータ流出で公開されたパスワードを使い、被害者のアカウントをクレデンシャルスタッフィング攻撃で侵害できた。
  • DNA親族機能はユーザー同士を親族としてマッチングする仕組みのため、1人のアカウントが侵害されると、アカウント所有者だけでなくその親族の個人データも閲覧でき、被害者数が増加した。

GN⁺の意見

この記事で最も重要な点は、遺伝子検査サービスの23andMeが大規模なデータ流出事件に見舞われたことだ。この事件は、約690万人のユーザーの祖先データがハッカーによって盗まれた事実を明らかにしており、これは23andMe顧客の半数近くに相当する。データ流出はパスワード再利用が原因であり、オンラインセキュリティの重要性を改めて思い起こさせる。この記事が興味深い理由は、個人の遺伝情報がいかに機微なデータであるか、そしてその情報がどのようにして悪意ある者の手に渡り得るかを示している点にある。これは、個人情報保護とサイバーセキュリティに対する一般の認識を高めるきっかけになり得る。

関連記事

1件のコメント

 
GN⁺ 2023-12-06
Hacker Newsの意見

  • 個人情報保護の重要性

    • 親族が23andMeのようなサービスを利用してゲノムデータを共有することが、自分自身の情報露出にも影響することを指摘している。
    • 行動データの収集が、共通の背景を持つほかの人々にも影響し得ることへの認識が広がってほしいとしている。

  • 23andMe利用規約更新の問題

    • 感謝祭に発表された利用規約の更新では、集団訴訟の禁止、法的措置の前に60日間の非公式手続き、拘束力のある仲裁が求められている。
    • 顧客が事実上ほとんど法的権利を持てないよう、23andMeの弁護士が作成したように見えるとしている。

  • 個人情報保護の未来への疑問

    • 機械学習アルゴリズムは、歩き方だけで人物を識別し、キーボードの音だけでテキストを解読できる方向へ進化している。
    • 公開データと高度化したアルゴリズムによって、現在の合理的なプライバシー保護を維持するのは難しいとの懸念が示されている。

  • 病院のDNA分析プログラム参加要請の経験

    • 病院が、以前に採取した血液サンプルを使ってDNA分析を行うと提案してきた。
    • これは米国のプライバシー保護法が事実上存在しないことを示す事例であり、欧州では同意なしにサンプルを保管することはできないとしている。

  • 23andMeデータ流出疑惑

    • 14,000件のアカウントが一度に侵害され、ハッカーがDNA Relatives機能を通じて690万人の個人情報にアクセスした。
    • これは各アカウントが平均492人分の固有の親族情報を持っていたことを意味する。

  • 23andMe利用に対する個人的な懐疑

    • ハッカーではなく、政府がその情報をどう利用するかへの懸念から、このサービスの利用は考えていないとしている。

  • 23andMe関連の最近のニュースリンク

    • 2023年12月と10月に発生した23andMe関連のデータ流出およびハッキング事件に関するニュースリンクが示されている。

  • クレデンシャルスタッフィング（credential stuffing）に関する議論

    • Webアプリケーション開発者は、クレデンシャルスタッフィングに対する防御策を講じるべきだと強調している。
    • Troy Huntのハッシュ化パスワードデータベースを使うことが有効な防御策だと言及している。

  • データ収集企業のハッキング可能性

    • データを収集するあらゆる企業は、最終的にはハッキングされるだろうという見方が示されている。

  • 23andMeを利用していない人々の集団訴訟の可能性

    • 親族が23andMeを利用していた場合でも、プライバシー権を主張できるのかという疑問が提起されている。