Prokurator generalny Kalifornii Rob Bonta wniósł w czwartek pozew przeciwko firmie 23andMe – po postępowaniu upadłościowym nadal działającej pod nową nazwą Chrome Holding Company – zarzucając jej niezapewnienie odpowiedniej ochrony danych genetycznych milionów klientów przed cyberatakiem z 2023 roku. Poszkodowane zostały miliony Amerykanów.
Hakerzy uzyskali dostęp do około 14 tysięcy kont użytkowników, co doprowadziło do kradzieży danych blisko 7 milionów klientów w całych Stanach Zjednoczonych. Wśród skradzionych informacji znalazły się surowe dane genetyczne, raporty zdrowotne i dane o powiązaniach rodzinnych. Bonta zarzucił w pozwie, że firma nie wdrożyła podstawowych zabezpieczeń przed cyber zagrożeniami – nie wymagała od użytkowników silnych haseł ani nie stosowała uwierzytelniania wieloskładnikowego (2FA). Zaniedbania te miały pozostać bez reakcji mimo wcześniejszego naruszenia bezpieczeństwa jednego z partnerów 23andMe.
Bonta ocenił, że „naruszenie danych i sposób, w jaki firma je obsłużyła, był niedopuszczalny” ora podkreślił, że „23andMe nie stoi ponad prawem”. Zapewnił również, że Kalifornia „zawsze będzie chronić prywatność i bezpieczeństwo wszystkich konsumentów”.
Chrome Holding Company nie na razie nie odniosło się do pozwu.
Spółka wcześniej zgodziła się na wielomilionową ugodę w związku z tym samym wyciekiem danych. Obecny pozew ma na celu nałożenie na Chrome Holding Company dodatkowych kar cywilnych i nakazów sądowych, które wymuszą na firmie podniesienie standardów ochrony danych.
Warto podkreślić, że sprawa dotyczy danych biologicznych, które – w odróżnieniu od np. haseł czy numerów kart – są niezmienne i mogą służyć różnego rodzaju nadużyciom wielokrotnie.
Red. JŁ