Генеральный прокурор Калифорнии Роб Бонта заявил, что подаст в суд на компанию Chrome Holding, занимающуюся ДНК-тестированием, после расследования, начатого в четверг, утверждая, что ее предшественница, компания 23andMe, не обеспечила защиту конфиденциальных данных клиентов.
Бонта заявил, что сбой привел к утечке данных в 2023 году, в результате которой были раскрыты генетические предрасположенности и факторы риска почти семи миллионов пользователей, а также информация о биологических родственниках, происхождении и этнической принадлежности.
«Наше расследование показало, что компания не предприняла элементарных шагов для защиты данных пользователей», — сказал Бонта, добавив, что 23andMe «лгала потребителям о серьезности утечки данных в 2023 году».
BBC запросила комментарии у компании Chrome Holding.
Компания провела ребрендинг после того, как в прошлом году 23andMe объявила о банкротстве.
Бонта также утверждает, что последующая продажа данных пользователей 23andMe в даркнете злоумышленниками, которые специально указывали, что эти данные принадлежат азиатско-американцам, жителям тихоокеанских островов (AAPI) и евреям, имела место.
«Это вызывает тревогу и представляет невероятную опасность», учитывая, что это произошло в период «нарастающей ненависти и насилия в отношении американцев азиатского и тихоокеанского происхождения, а также антисемитских настроений», — сказал Бонта.
Пользователи стали жертвами так называемой атаки с использованием украденных учетных данных, в ходе которой хакеры использовали пароли, раскрытые в ходе предыдущих утечек, для доступа к учетным записям 23andMe, для которых люди использовали аналогичные учетные данные.
Утечка данных в 2023 году привела к пристальному вниманию к компании со стороны международных регулирующих органов.
В прошлом году компания была оштрафована Управлением комиссара по информации (ICO), британским надзорным органом, на 2,31 млн фунтов стерлингов за то, что, по утверждению ICO, 23andMe не приняла надлежащих мер для защиты конфиденциальных данных пользователей до инцидента.
Управление по защите персональных данных (ICO) сообщило, что был получен доступ к персональным данным 155 592 жителей Великобритании.
Компания заявила, что «взяла на себя ряд обязательных обязательств по усилению защиты данных и конфиденциальности клиентов».
В соответствии с законодательством Великобритании о защите данных, генетические данные считаются особой категорией данных и требуют дополнительной защиты и гарантий ввиду их конфиденциального характера.
Расследование ICO проводилось в координации с уполномоченным по вопросам конфиденциальности Канады и выявило, что компания 23andMe нарушила британское законодательство, не внедрив надлежащие меры аутентификации и проверки для клиентов в процессе входа в систему.
В прошлом году компания 23andMe вновь оказалась под пристальным вниманием общественности, когда пользователи сообщили о трудностях с удалением своих учетных записей после того, как компания подала заявление о банкротстве в соответствии с главой 11 Кодекса о банкротстве США, чтобы продать себя в рамках процедуры, контролируемой судом.
В то время некоторые пользователи выражали обеспокоенность по поводу перспективы того, что страховые компании будут покупать их данные и использовать их для принятия решения о предоставлении страхового покрытия.
Компания 23andMe была основана Энн Войчицки, сестрой покойной главы YouTube Сьюзан Войчицки и бывшей женой сооснователя Google Сергея Брина.
В своё время среди клиентов компании числились Снуп Догг, Опра Уинфри и Ева Лонгория, а на пике её акции стоили более 300 долларов, прежде чем рухнуть в 2024 году.