Há momentos em que um incidente técnico revela algo mais antigo e mais íntimo: a dificuldade de guardar aquilo que nos define. A 23andMe, empresa que transforma uma gota de saliva em retrato de ancestralidade, viu sua base de dados genéticos ser alcançada por criminosos que não precisaram arrombar cofres, apenas aproveitar senhas repetidas por clientes em diferentes serviços. O que começou com cerca de 14 mil contas agora atinge 6,9 milhões de pessoas, incluindo familiares que nunca confiaram seus dados à empresa. A demora em revelar a real dimensão do caso lembra que a confiança, quando envol
Até DNA: hackers roubam dados genéticos de milhões de pessoas após ataque à 23andMe
Milhões de pessoas, incluindo parentes que não contrataram o serviço, tiveram nomes, anos de nascimento, relações familiares e localizações expostos.
Cada conta invadida abriu uma janela para dados de outras pessoas
Há momentos em que um incidente técnico revela algo mais antigo e mais íntimo: a dificuldade de guardar aquilo que nos define. A 23andMe, empresa que transforma uma gota de saliva em retrato de ancestralidade, viu sua base de dados genéticos ser alcançada por criminosos que não precisaram arrombar cofres, apenas aproveitar senhas repetidas por clientes em diferentes serviços. O que começou com cerca de 14 mil contas agora atinge 6,9 milhões de pessoas, incluindo familiares que nunca confiaram seus dados à empresa. A demora em revelar a real dimensão do caso lembra que a confiança, quando envolve o próprio código da vida, exige mais do que correção tardia.
A 23andMe, empresa que vende kits de teste genético feitos a partir de uma amostra de saliva, admitiu que o ataque cibernético revelado em outubro foi muito maior do que se imaginava. O total chega a 6,9 milhões de pessoas. Tudo começou com a invasão de cerca de 14 mil contas, equivalentes a 0,1% da base.
Segundo a empresa, os criminosos usaram senhas já expostas em outros vazamentos e tentaram entrar nas contas até acertar. Não foi preciso quebrar os sistemas da companhia: bastou que clientes repetissem a mesma senha em mais de um serviço.
O alcance cresceu pelo recurso DNA Relatives. Ao entrar em uma conta, o invasor também via dados de parentes ligados àquele perfil, pessoas que nunca tinham sido alvo direto. Cerca de 5,5 milhões de usuários do recurso tiveram nomes, anos de nascimento, relações familiares, percentuais de DNA compartilhado e localizações expostos. Outros 1,4 milhão tiveram dados da Árvore Genealógica revelados.
Esses números não estavam no comunicado inicial, e o motivo da omissão segue desconhecido. Ainda assim, o caso pesa pela transparência: o que mais ampliava a dimensão do vazamento foi revelado por último. Resta acompanhar se virão processos e mudanças nas práticas de segurança da companhia.
A 23andMe, empresa que vende kits de teste genético feitos a partir de uma amostra de saliva, admitiu que o ataque cibernético revelado em outubro atingiu muito mais gente do que se pensava. O total chega a 6,9 milhões de pessoas. O ponto de partida foi pequeno: hackers invadiram as contas de cerca de 14 mil clientes, o equivalente a 0,1% da base.
A explicação da empresa para a invasão é a reutilização de senhas. Segundo a 23andMe, os criminosos usaram senhas já expostas em outros vazamentos de dados e tentaram entrar nas contas até acertar. Não foi preciso quebrar os sistemas da companhia: bastou que clientes usassem a mesma senha em mais de um serviço.
O alcance cresceu por causa de um recurso chamado DNA Relatives. Ao entrar em uma conta, o invasor via também informações de parentes ligados àquele perfil. Assim, cada conta invadida abriu uma janela para dados de outras pessoas, que não tinham sido alvo direto do ataque.
Katie Watson, porta-voz da empresa, confirmou ao TechCrunch os números. Cerca de 5,5 milhões de pessoas que usavam o DNA Relatives tiveram dados acessados: nomes, anos de nascimento, relações familiares, percentuais de DNA compartilhado, relatórios de ancestralidade e localizações informadas pelos próprios usuários. Outro grupo, de cerca de 1,4 milhão de usuários que também haviam aderido ao recurso, teve dados da Árvore Genealógica expostos, como nomes de exibição, rótulos de relacionamento, ano de nascimento e localização autodeclarada.
A 23andMe não incluiu esses números no comunicado inicial, e o motivo da omissão não é conhecido. Com os novos dados, o ataque atingiu cerca de metade dos 14 milhões de clientes que a empresa declara ter.
O caso apareceu publicamente em outubro, quando um hacker afirmou ter roubado informações de DNA de usuários. Ele publicou dados de um milhão de pessoas de ascendência judaica ashkenazi e de 100 mil pessoas de origem chinesa, e depois anunciou mais quatro milhões de registros. O TechCrunch apurou que outro hacker já havia anunciado, meses antes, dados supostamente roubados da empresa. A análise do material vazado mostrou que alguns registros coincidiam com dados genéticos já publicados online, o que indica que as informações eram autênticas.
O que ainda pesa sobre o caso é a transparência: a empresa deixou de divulgar, de início, os números que mais ampliam a dimensão do vazamento. Vale acompanhar se haverá processos e mudanças nas práticas de segurança da companhia.
Citações Notáveis
Cerca de 5,5 milhões de pessoas que usaram o DNA Relatives tiveram informações pessoais acessadas (paráfrase).— Katie Watson, porta-voz da 23andMe, ao TechCrunch
Quer a matéria completa?
Leia o original em Olhar Digital ↗
Science & Space