Dna-testbedrijf 23andMe lekt afstammingsgegevens 6,9 miljoen gebruikers

[Captain Kirk]

Bij de aanval op dna-testbedrijf 23andMe zijn de afstammingsgegevens van 6,9 miljoen gebruikers buitgemaakt. Een aantal dat niet eerder bekend was gemaakt. Via 23andMe kunnen gebruikers hun dna laten testen om te zien waar hun voorouders vandaan komen en in contact te komen met andere familieleden op het platform. Daarnaast kan er ook worden getest op gezondheidsgerelateerde zaken. Het bedrijf zou zo'n 14 miljoen gebruikers tellen.

Bij een credential stuffing-aanval wisten aanvallers toegang tot de accounts van 14.000 gebruikers te krijgen, liet 23andMe vorige week tegenover de Amerikaanse beurswaakhond SEC weten. Verder werd gesteld dat de aanvallers toegang hadden gekregen tot een 'significant number of files' met de afstammingsgegevens van andere gebruikers. Een aantal werd echter niet genoemd. Tegenover TechCrunch laat het dna-testbedrijf nu weten dat het in totaal om 6,9 miljoen gebruikers gaat.

23andMe biedt gebruikers de feature 'DNA Relatives', waarmee het mogelijk is om andere familieleden op het platform te vinden en meer over de eigen afstamming te weten te komen. Het gaat hier om een optionele feature. Maar via de 14.000 accounts die werden gecompromitteerd konden de aanvallers de afstammingsgegevens van 6,9 miljoen 23andMe-gebruikers downloaden.

Het gaat om 6,9 miljoen mensen die ook toestemming hadden gegeven om hun gegevens via de DNA Relatives-feature te delen. Het gaat om naam, geboortejaar, relatielabels, het dna-percentage dat met familieleden wordt gedeeld, afstammingsrapporten en zelf doorgegeven locatie. Van 1,4 miljoen van deze gebruikers zijn ook de stamboomgegevens benaderd.

Bij credential stuffing-aanvallen proberen aanvallers of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan. Vanwege de aanval besloot 23andMe de wachtwoorden van alle 14 miljoen gebruikers te resetten en het gebruik van tweestapsverificatie te verplichten.

 

bron: https://www.security.nl