23ANDME وخرق حشو بيانات الاعتماد الذي حوّل الأقارب إلى سطح كشف

ملخص

• تم تأكيد الوصول المتدرج:كشفت 23ANDME في البداية أنه تم الوصول إلى حوالي 0.1% من حسابات المستخدمين، والتي وصفت آنذاك بحوالي 14,000، باستخدام بيانات اعتماد معاد استخدامها من خدمات أخرى. أفاد التحقيق المشترك بين كندا والمملكة المتحدة لاحقًا بوجود 18,222 حسابًا تم الوصول إليها مباشرة في جميع أنحاء العالم. من خلال تلك الجلسات، قام المهاجم بكشط معلومات الأقارب الجينيين وشجرة العائلة التي تخص حوالي سبعة ملايين عميل.
• غيّر الأقارب نصف قطر الانفجار:العميل الذي اختار المشاركة في خدمة الأقارب الجينيين جعل المعلومات الشخصية المحددة والنسب والعلاقات مرئية للمطابقات. لذلك لم يحتاج المهاجم إلى أن يعيد كل شخص متأثر استخدام كلمة المرور. حول المنتج مجموعة صغيرة من عمليات الدخول الصالحة إلى سلطة لعرض رسم بياني علائقي أكبر بكثير.
• فشل الكشف والاستجابة في عدة نقاط:حدد المنظمون فترات مكثفة من حشو بيانات الاعتماد، وتعطل المنصة في يوليو بسبب أكثر من مليون محاولة دخول إلى حساب واحد، ومئات محاولات نقل الملفات الشخصية، وادعاء في أغسطس بسرقة كبيرة. لم يتم تأكيد الحملة الواسعة حتى تم الإعلان عن البيانات المسروقة في أكتوبر 2023. تبع ذلك تفعيل التحقق بخطوتين إلزامي، وإعادة تعيين كلمة مرور شاملة، وضوابط أكثر صرامة على تحميل الحمض النووي الخام.
• المساءلة موزعة ولكن غير متساوية:المهاجم مسؤول عن الوصول غير المصرح به والكشط والنشر. العملاء الذين أعادوا استخدام كلمات المرور خلقوا طريقًا أوليًا. 23ANDME وحدها تحكمت في إعدادات المصادقة الافتراضية، وفحص كلمات المرور المخترقة، وسلطة الجلسة، وحدود استعلام العلاقات، والقياس عن بعد، والاستجابة، والإخطار. النتائج التنظيمية اللاحقة، والغرامة البريطانية، والتسوية الجماعية، وحماية بيع الإفلاس، وقضية الإنفاذ في كاليفورنيا التي لا تزال متنازع عليها تقيس أسئلة قانونية مختلفة؛ لا شيء منها يدعم ادعاءات سوء استخدام جيني معين دون دليل.

كلمة مرور واحدة، الكثير من الأشخاص

يسأل العد التقليدي للاستيلاء على الحساب عن عدد الحسابات التي دخلها المهاجم. هذا ضروري هنا، لكنه غير مكتمل جذريًا. تم بناء خدمة الأقارب الجينيين لإظهار مجموعة من المطابقات الجينية للعميل المشارك. اعتمادًا على مستوى الاشتراك، قال التحقيق المشترك، يمكن للحساب المفعل رؤية 1,500 أو 5,000 ملف تعريف للأقارب الجينيين. قد يكشف المطابق عن اسم عرض، علاقة متوقعة، نسبة الحمض النووي المشترك، ومعلومات اختيارية عن النسب والموقع وسنة الميلاد والصورة واسم العائلة وشجرة العائلة. لا يزال الوصف الحالي لـ 23ANDME يوضح نموذج المشاركة الأساسي: يختار المشاركون الظهور للمطابقات الجينية، وتصبح التفاصيل المحددة مرئية ضمن سياق العلاقة. (إعدادات الخصوصية والعرض للأقارب الجينيين في 23ANDME)

لم يكن ذلك نفس نشر ملف تعريف على الويب المفتوح. كانت الرؤية مشروطة بحساب 23ANDME موثق، والمشاركة في الميزة، وعلاقة مطابقة جينية تحسبها الخدمة. لكن المشاركة المشروطة يمكن أن تخلق سطح تفويض واسع. بمجرد أن انتحل المهاجم صفة عميل مشارك بنجاح، عاملت الخدمة الجلسة على أنها مخولة لرؤية المعلومات المقدمة من أشخاص آخرين. ربما استخدم هؤلاء الأشخاص الآخرون كلمات مرور فريدة ومصادقة أقوى. لكن أمانهم اعتمد جزئيًا على أضعف حساب متصل وعلى الضوابط التي تحد من ما يمكن لهذا الحساب استرداده.

هذه هي مشكلة الملف الشخصي المشترك. غالبًا ما يكون صاحب الحساب المخترق والشخص الذي تعرضت بياناته للكشف شخصين مختلفين. أحدهما يتحكم في بيانات الاعتماد؛ والآخر قدم الملف الشخصي المرئي؛ تحدد المنصة العلاقة وتمنح الوصول. تحليل يعزو الحادثة بالكامل إلى إعادة استخدام كلمة المرور ينهار تلك الأدوار. كما يفوت القرار المنتج الذي ضاعف قيمة كل عملية دخول ناجحة.

التمييز مهم بشكل خاص في خدمة جينية لأن معلومات العلاقة هي بطبيعتها علائقية. نسبة الحمض النووي المشترك تصف اتصالًا بين شخصين على الأقل. يمكن لشجرة العائلة أن تشمل أشخاصًا لم يفتحوا حسابًا أبدًا. العلاقة المتوقعة تُنتج من بيانات مقارنة، ليست مملوكة بشكل تشغيلي من جهة واحدة فقط. موافقة عميل واحد على المشاركة في ميزة مطابقة لا تمنح ذلك العميل سيطرة تقنية على كيفية اكتشاف جلسة عميل آخر مخترقة أو تقييدها.

لا شيء من هذا يثبت ضررًا جينيًا محددًا. السجل الذي تمت مراجعته لا يثبت أن صاحب عمل أو شركة تأمين أو هيئة حكومية أو صانع قرار طبي استخدم المعلومات المكشوفة ضد شخص متأثر. لكنه يثبت وصولًا غير مصرح به إلى الحساب، وجمعًا آليًا، ونشرًا عبر الإنترنت أو عرضًا لبعض المعلومات، وكشفًا لحقول ملف شخصي وحساب محددة. يجب أن تستند المساءلة إلى تلك الأحداث المثبتة والمخاطر التي كان المنظمون ملزمين قانونًا بتقييمها، وليس إلى قصص مختلقة عن الاستخدام النهائي.

الأدلة لها أربعة صناديق مختلفة

أصبح السجل العام أكثر تفصيلًا على مدى عامين، والتسميات مهمة. لا ينبغي خلط أربع فئات من الأدلة.

نموذج 23ANDME المعدل 8-K لشهر ديسمبر 2023 هو حساب الشركة الأساسي. قال إن الفاعل التهديد وصل إلى 0.1% من حسابات المستخدمين حيث تطابق اسم المستخدم وكلمة المرور مع بيانات اعتماد تم اختراقها مسبقًا أو متاحة بطريقة أخرى في مكان آخر. كما قال إن الفاعل استخدم تلك الحسابات للوصول إلى ملفات تحتوي على معلومات ملفات تعريف النسب التي اختار مستخدمون آخرون مشاركتها من خلال خدمة الأقارب الجينيين، ونشر بعض المعلومات عبر الإنترنت. وقالت الشركة إنه ليس لديها أي indication بأنها مصدر بيانات الاعتماد. (نموذج 23ANDME المعدل 8-K)

تقرير يونيو 2025 المشترك بين مكتب مفوض الخصوصية الكندي ومكتب مفوض المعلومات في المملكة المتحدة هو أقوى إعادة بناء عامة مجمعة. استند إلى تقديمات الشركة، ومقابلات الموظفين، ومواد المصادر المفتوحة، وتحليل المنظمين. كما يسجل حدًا ماديًا: لم يتلق المنظمون كل وثيقة مطلوبة، بما في ذلك سجلات الحوادث الداخلية والتقرير الجنائي، لأن 23ANDME أكدت على الامتياز القانوني. هذا لا يلغي النتائج. يعني أن التقرير مفصل بشكل غير عادي لكنه ليس إصدارًا كاملاً للسجل الجنائي الأساسي. (تقرير التحقيق المشترك كندا-المملكة المتحدة)

مدونة الشركة، والإيداعات الأمنية، وتقرير المنظم، والتسوية المعتمدة من المحكمة، وشكوى لاحقة تجيب على أسئلة مختلفة. يجب أن تدعم بعضها البعض حيثما أمكن، لكن لا ينبغي إجبارها في سرد واحد خالٍ من الاحتكاك. التغيير من تقدير 0.1% المبكر إلى رقم 18,222 حسابًا للمنظمين لاحقًا هو مثال جيد: يعكس تاريخ التقرير، وتطور الأدلة، وطريقة العد. إنه ليس إذنًا لتسمية رقم بالكذب فقط لأن الآخر جاء لاحقًا.

أبريل إلى أكتوبر 2023: الهجوم في الوقت

قبل أبريل: حسابات حساسة بحماية اختيارية

في وقت الحادثة، كان بإمكان العملاء تسجيل الدخول باستخدام عنوان بريد إلكتروني وكلمة مرور. كانت المصادقة متعددة العوامل القائمة على التطبيق وتسجيل الدخول الأحادي من Apple أو Google متاحة ولكن اختيارية. وجد التحقيق المشترك أن ما يقرب من 78% من العملاء لم يستخدموا MFA ولا SSO؛ فقط 0.2% استخدموا MFA القائمة على التطبيق المعروض. حسابات الموظفين التي تصل إلى معلومات الشركة كانت MFA أو SSO إلزامية، بينما حسابات العملاء لم تكن كذلك.

هذا التباين مهم. تم التعامل مع البنية التحتية الداخلية على أنها تتطلب عاملًا ثانيًا، لكن حساب المستهلك يمكن أن يكشف عن تقارير صحية، ونتائج النسب، ومعلومات العلاقات، وطريق لطلب البيانات الجينية الخام باستخدام كلمة مرور فقط. وجد المنظمون أيضًا أن 23ANDME لم تحاكِ حشو بيانات الاعتماد ضد خدمة العملاء، ولم يكن لديها دليل استجابة محدد لهذا النمط من الهجمات. ركزت اختبارات الاختراق على البنية التحتية الخلفية.

MFA الاختيارية ليست بلا تحكم. العملاء الذين قاموا بتفعيلها تلقوا حماية ذات معنى، وقال المنظمون إنه لم يتم حشو أي من الحسابات التي تستخدم MFA أو Apple أو Google SSO بنجاح في هذه الحملة. لكن ضمانة اختيارية تضع مخاطر التبني على المستخدم حتى عندما اختارت الخدمة تركيز بيانات غير عادية الحساسية ورؤية عبر الحسابات. السؤال المناسب ليس ما إذا كانت MFA موجودة في صفحة إعدادات. بل هو ما إذا كان مستوى الضمان الافتراضي يطابق ما يمكن لجلسة ناجحة فعله.

29 أبريل إلى 16 مايو: الفترة المكثفة الأولى

يؤرخ التسلسل الزمني للمنظمين لاحقًا الحملة من 29 أبريل حتى 20 سبتمبر 2023. خلال الفترة المكثفة الأولى، المنتهية في 16 مايو، تم الوصول بنجاح إلى 9,974 حسابًا. يختلف حشو بيانات الاعتماد عن التخمين العنيف ضد حساب واحد: يحاول المهاجم أزواج اسم مستخدم وكلمة مرور تم الحصول عليها من خروقات أو مصادر أخرى، متوقعًا أن بعض الأشخاص قد أعادوا استخدامها. لذلك يمكن أن تبدو عملية الدخول الصحيحة عادية إذا فحصت المراقبة كل حساب بمعزل.

الاقتصاديات تفضل المهاجم. نصوص بيانات الاعتماد قابلة لإعادة الاستخدام عبر الخدمات، يمكن توزيع محاولات الدخول، والأتمتة تحول معدل نجاح منخفض إلى حملة قابلة للحياة. تتحمل الخدمة تكاليف ضوابط البوتات، واكتشاف الحالات الشاذة، واحتكاك العملاء، والدعم. المهاجم يحتاج فقط إلى جلسات ناجحة كافية لتبرير تلك التكاليف. في هذه الحالة، كل جلسة ناجحة يمكن أن تفتح أيضًا رؤية على آلاف الملفات الشخصية المرتبطة، مما يجعل العائد المتوقع لكل بيانات اعتماد صالحة أعلى بكثير من محتويات ذلك الحساب وحده.

هذه هي اقتصاديات الاتصال بسوء الاستخدام للحدث. أول اتصال للمهاجم بالخدمة كان محاولة دخول. الاتصال الناجح أصبح جلسة دائمة. ثم أصبحت الجلسة قناة استعلام إلى الملفات الشخصية المشتركة لأشخاص آخرين. كل حدود بقيت رخيصة العبور زادت قيمة الاستخراج: دخول آخر، صفحة مطابقة أخرى، طلب شجرة عائلة آخر، دفعة أخرى من بيانات الملف الشخصي. لذلك كان على الدفاعات أن تسعّر التسلسل بأكمله، وليس فقط فحص كلمة المرور.

6 يوليو: مليون محاولة دخول وتعطل المنصة

في 6 يوليو، وفقًا لتحليل المنظمين لسجلات دخول العملاء، قام برنامج كمبيوتر بتسجيل الدخول إلى حساب مجاني بدون عينة حمض نووي أكثر من مليون مرة في يوم واحد. تسبب النشاط مؤقتًا في تعطل المنصة وارتبط بجهد فاشل لبدء نقل الملفات الشخصية. كان الحدث صاخبًا من الناحية التشغيلية. كما كان ذا صلة هيكلية: نقل الملف الشخصي هو وسيلة لنقل إدارة ملف جيني بين الحسابات.

حققت 23ANDME واتخذت إجراءات ضد عمليات النقل غير المصرح بها، لكنها لم تربط النشاط بحملة حشو بيانات الاعتماد الأوسع. تعطل المنصة ليس دليلاً تلقائيًا على خرق؛ يمكن أن يكون لحوادث التوفر أسباب عديدة. لكن في السياق كان إشارة إلى أن سير عمل موثق كان يتم أتمته بحجم استثنائي. فشل المساءلة الذي حدده المنظمون لم يكن الفشل في استنتاج الحملة بأكملها من رسم بياني واحد. كان الفشل في دمج هذا الشذوذ مع الأحداث التي تلت ذلك.

28 إلى 30 يوليو: حوالي 400 محاولة نقل

في أواخر يوليو، حاول الفاعل أتمتة نقل الملفات الشخصية التي تشمل حوالي 400 حساب. عطلت 23ANDME طلبات النقل، وقفلت الحسابات التي يحتمل أن تكون متأثرة مؤقتًا، وطلبت إعادة تعيين كلمة المرور لهؤلاء العملاء، وأضافت تنبيهًا لحجم النقل غير الطبيعي. خلص تحقيقه الداخلي إلى أنه تم الوصول إلى معلومات محدودة في 19 حساب عميل أمريكي.

تظهر هذه الاستجابة أن الشركة يمكنها التصرف بشكل ضيق وسريع حول سير عمل معترف به. كما كشفت ضعفًا في التحكم بكلمة المرور: يمكن للعميل إعادة تعيين حساب إلى كلمة مرور مستخدمة سابقًا. غيرت 23ANDME هذا السلوك في أغسطس. لكن التحقيق لم يحدد أن هجومًا أوسع كان قد وصل بالفعل إلى آلاف الحسابات. كان النطاق محصورًا بالعرض: إساءة استخدام النقل، وليس نظام الوصول إلى الحساب والكشط المحيط به.

10 أغسطس: ادعاء رفض كخدعة

ثم تلقت 23ANDME رسائل بوابة العملاء من فرد يدعي أن لديه بيانات لأكثر من 10 ملايين عميل بإجمالي 300 تيرابايت. لاحظ موظف أيضًا ادعاءً مشابهًا على Reddit تحت نفس الاسم. حقق فريق الأمن وصنف الادعاء كخدعة.

الرقم هو ادعاء مهاجم، وليس قياسًا مؤكدًا، ويجب أن يظل مصنفًا بهذه الطريقة. لم يثبت المنظمون لاحقًا 300 تيرابايت أو سرقة 10 ملايين عميل. كان استنتاجهم حول كفاية التحقيق: كانت ادعاءات الخرق نادرة للشركة، وهذا الادعاء جاء بعد تعطل يوليو ومحاولات النقل. عند النظر إليها مجتمعة، استدعت تلك الأحداث تحقيقًا أعمق. خلص التقرير إلى أن تحقيق أقوى في أغسطس كان يمكن أن يكشف عن الحملة قبل الفترة المكثفة الثانية.

هذه النقطة مهمة للإبلاغ عن سوء الاستخدام. يمكن أن يغرق صندوق الوارد بادعاءات غير معقولة، وابتزاز، وتقارير باحثين، وشكاوى العملاء، وضوضاء. من المستحيل معاملة كل رسالة كحقيقة. معاملة الفرز كقرار نهائي أمر خطير أيضًا. تحتاج الخدمات عالية العواقب إلى قاعدة تصعيد تجمع بين حداثة الادعاء، وأدوات الادعاء، والشذوذ المعاصر، ومسارات الهجوم المعروفة. التكلفة المفروضة على المسيء لتقديم ادعاء قد تكون صفرًا تقريبًا؛ تكلفة التحقيق الجنائي الكامل ليست كذلك. تحدد الحوكمة متى تبرر الإشارات المستقلة الكافية دفع تلك التكلفة.

سبتمبر: الفترة المكثفة الثانية

استأنف الفاعل حشو بيانات الاعتماد المكثف في سبتمبر واخترق 4,364 حسابًا إضافيًا. عبر الحملة، وجد المنظمون تشوهين مرئيين في نسبة عمليات الدخول الناجحة إلى الفاشلة، في مايو وسبتمبر. كان لدى 23ANDME أدوات قادرة على اكتشاف الهجوم، لكن لم يتم تكوينها للتنبيه على النمط. كان تحديد الحدود يدويًا إلى حد كبير، ولم تستخدم الشركة معلومات الجهاز والمتصفح والشبكة المتاحة لبصمة الوصول المشبوه للعملاء.

هذا أكثر دقة من قول أن الخدمة لم يكن لديها مراقبة. كان لديها جدار حماية لتطبيقات الويب، وقواعد قائمة على IP، وتحديات، وحدود معدل، ووظيفة عمليات أمنية، وأدوات SIEM، وبرنامج مكافآت للثغرات. الفشل كان أن مجموعة الضوابط لم تصمم الهجوم كما حدث. يمكن للحملة الموزعة تجنب حدود IP البسيطة. يمكن لبيانات الاعتماد الصحيحة تجنب أقفال الدخول الفاشل على الحسابات المهمة. قد يبدو الكشط بعد الدخول كاستخدام متحمس للمنتج ما لم يقيس النظام اجتياز الرسم البياني، وتكرار الاستعلام، وسرعة الجلسة، ومدى الوصول العلائقي الكلي.

1 إلى 10 أكتوبر: الاكتشاف الخارجي وأول احتواء

في 1 أكتوبر، أعلن الفاعل عن البيانات المسروقة على Reddit. أكدت 23ANDME في 5 أكتوبر أن الحادثة حقيقية، وأعلنت في 6 أكتوبر أنه تم الوصول إلى معلومات الملف الشخصي دون تصريح. نسب حسابها العام الأولي الوصول إلى إعادة استخدام بيانات الاعتماد وقال إنه ربما تم الحصول على معلومات من ملفات تعريف الأقارب الجينيين. (تحديث خطة العمل والحادثة لـ 23ANDME)

لم يحدث الاحتواء في حركة واحدة. في 9 أكتوبر، بعد أربعة أيام من التأكيد، ألغت 23ANDME صلاحية الجلسات النشطة. في 10 أكتوبر أرسلت بريدًا إلكترونيًا لجميع العملاء، وطلبت إعادة تعيين كلمة مرور شاملة، وشجعت على MFA. قدمت الشركة تقريرها الأولي إلى ICO في 15 أكتوبر وإلى المنظم الكندي في 18 أكتوبر بعد أن طلب المكتب الكندي ذلك. استخدمت تقارير المنظم الأولية عددًا عالميًا متأثرًا قدره 1,103,647؛ رفعتها ملاحق أواخر أكتوبر إلى 5,621,179.

يكشف التسلسل أهمية التحكم في الجلسة. تغيير كلمة المرور لا ينهي بالضرورة جلسة موثقة بالفعل. يجب أن تلغي خطة الاستجابة بشكل منفصل الرموز، وتدوير أو إلغاء بيانات الاعتماد الأخرى، وتوقف الصادرات عالية المخاطر، وتحافظ على الأدلة، وتحدد المشاهدات اللاحقة. وجد المنظمون أن أربعة أيام كانت طويلة جدًا لتعطيل جميع الجلسات وفرض إعادة التعيين بعد تأكيد حدث بيانات عميل ذي أولوية قصوى.

نوفمبر 2023 إلى يناير 2024: دخول أقوى، إخطار أبطأ

في 2 نوفمبر، عطلت 23ANDME التنزيل الذاتي للحمض النووي الخام. عادت الوظيفة في 27 فبراير 2024 مع فحص إضافي لتاريخ الميلاد. شكك المنظمون في تاريخ الميلاد كوسيلة مصادقة قوية لأنه يمكن أن يكون متاحًا للجمهور أو موجودًا في خروقات أخرى، رغم أنهم قيموا ضمانات الشركة اللاحقة ككل بدلاً من معالجة هذه الخطوة الواحدة على أنها كافية.

في 9 نوفمبر، جعلت الخدمة التحقق بخطوتين عبر البريد الإلكتروني إلزاميًا للعملاء الذين لا يستخدمون MFA التطبيق أو SSO. يؤرخ إيداع SEC المعدل الشرط إلى أوائل نوفمبر ويؤكد أن المستخدمين الجدد والحاليين سيحتاجون إلى التحقق بخطوتين مستقبلاً. كانت MFA القائمة على التطبيق موجودة بالفعل وكان يمكن جعلها إلزامية في وقت أقرب؛ طورت 23ANDME بدلاً من ذلك طريقة بريد إلكتروني أقل احتكاكًا. خلص المنظمون إلى أن ذلك ترك الحسابات مكشوفة لفترة أطول من اللازم، مع قبولهم أيضًا بنهاية 2024 أن مجموعة الضوابط العلاجية المجمعة كانت مناسبة.

استمر الإخطار في طبقات. تلقى الأشخاص الذين تم نشر معلومات أقاربهم الجينيين أو تحديد وصولهم إليها إخطارات في أكتوبر. تتبعت بعض التوضيحات الخاصة بشجرة العائلة فقط في ديسمبر. الأشخاص الذين تم حشو حساباتهم مباشرة لم يتم إخطارهم بتلك الحقيقة حتى يناير 2024، أي بعد ما يقرب من ثلاثة أشهر من التأكيد وأكثر من شهر بعد أن قالت الشركة إن تحقيقها الجنائي اكتمل. وجد التقرير المشترك إغفالات في إخطارات المنظم والأفراد، بما في ذلك الكشف المحتمل عن الحمض النووي الخام، وفترة الهجوم، ونشر المعلومات للبيع، وبعض حقول الحساب.

عد الحسابات والملفات الشخصية والأشخاص

ليس للحادثة رقم واحد صادق ما لم ترافقه الوحدة والتاريخ.

حوالي 0.1% أو ما يقرب من 14,000 حساب:كان هذا وصف الشركة المبكر في ديسمبر 2023 للحسابات التي تم حشوها مباشرة. ظهرت النسبة المئوية في 8-K المعدل. ترجمتها التقارير المعاصرة إلى حوالي 14,000 بناءً على عدد مستخدمي الخدمة.

18,222 حسابًا تم الوصول إليها مباشرة:هذا هو المجموع العالمي الذي قدمته 23ANDME لاحقًا للتحقيق الكندي-البريطاني في يوليو 2024: 769 في كندا و611 في المملكة المتحدة. وهو رقم الحساب المباشر الأكثر تطورًا في سجل المنظمين العام.

5,497,376 ملف تعريف للأقارب الجينيين و1,468,791 ملف تعريف لشجرة العائلة:هذه هي أعداد مجموعات الحقول العالمية التي تم الإبلاغ عنها لاحقًا للمنظمين. يقول التقرير إن مجموعتي الأقارب الجينيين وشجرة العائلة كانتا متنافيتين، بينما لم تكن مجموعات الأقارب الجينيين وتقارير النسب متنافية. قام نموذج 10-K للسنة المالية 2024 للشركة بتقريب الفئات إلى حوالي 5.5 مليون ملف تعريف للأقارب الجينيين و1.5 مليون ملف تعريف لشجرة العائلة. (نموذج 10-K للسنة المالية 2024 لـ 23ANDME)

6,984,430 عميل متأثر في جميع أنحاء العالم:أبلغت 23ANDME بهذا المجموع للمنظم الكندي في 4 ديسمبر 2023، مع 319,635 في كندا. يصف التقرير المشترك بشكل عام ما يقرب من سبعة ملايين عميل متأثر. استخدمت التسوية الجماعية في الولايات المتحدة لاحقًا ما يقرب من 6.4 مليون مقيم أمريكي لنطاق الفصل.

تصف هذه الأرقام مجموعات متداخلة ومتقاطعة، وليس أربعة أرقام لإضافتها. يمكن أن يكون صاحب الحساب الذي تم الوصول إليه مباشرة لديه أيضًا ملف تعريف للأقارب الجينيين. يمكن أن يكون لدى الشخص معلومات النسب وملف علاقة. قد يتعلق ملف تعريف شجرة العائلة بصاحب الحساب أو بشخص آخر ممثل في الشجرة. الدقة تتطلب مخططًا: الشخص، الحساب، الملف الجيني، سجل العلاقة، عقدة شجرة العائلة، التقرير، والملف الذي تم تنزيله هي كائنات مختلفة.

عدد الحمض النووي الخام أكثر حدودًا. في يوليو 2024، أبلغت 23ANDME عن 18 تنزيلًا للحمض النووي الخام في جميع أنحاء العالم و49 حالة تم فيها الوصول إلى الحمض النووي الخام أو تصفحه. حدد المنظمون نقاط ضعف في الطريقة الجنائية، بما في ذلك سجلات مزود السحابة الأصلية المفقودة وسجل مخصص تم تكوينه بشكل خاطئ. في أبريل 2025، بعد مزيد من التحليل، راجعت 23ANDME عدد تنزيلات الحمض النووي الخام المنسوبة إلى الفاعل إلى أربعة في جميع أنحاء العالم، لا شيء في كندا أو المملكة المتحدة. لم يتحقق المنظمون من ذلك التنقيح بشكل مستقل.

الاستنتاج الصحيح ليس أنه تم تنزيل الحمض النووي الخام لسبعة ملايين شخص. السجل لا يدعم ذلك. ولا أنه لم يكن هناك حمض نووي خام متورط. موقف الشركة اللاحق كان أربعة تنزيلات منسوبة، بينما وثق المنظمون عدم اليقين المنهجي. هذا هو بالضبط حيث يجب أن تتوقف مقالة جنائية عند حدود الأدلة.

ما يمكن أن تكشفه جلسة ناجحة

يجب أيضًا تقسيم البيانات حسب مسار الوصول.

بالنسبةلحساب تم الوصول إليه مباشرة، يمكن أن تشمل الحقول المتاحة الاسم الكامل، تاريخ الميلاد، الجنس عند الولادة، الجنس، البريد الإلكتروني، البلد والرمز البريدي، الطول والوزن؛ تقارير النسب؛ تقارير صحية؛ حالات صحية مُبلغ عنها ذاتيًا؛ ومعلومات النمط الجيني الخام. لا يترتب على ذلك أن كل حساب من الـ 18,222 حسابًا احتوى على كل حقل أو تم تنزيل كل حقل متاح. يقدم التقرير المشترك عددًا أكثر تحديدًا من 8,217 حسابًا تم حشوها بتقارير صحية متورطة و63 بحالات صحية مُبلغ عنها ذاتيًا.

بالنسبةلملف تعريف أقارب جينيين متصل، كانت المادة المكشوفة أضيق لكنها لا تزال حساسة: أسماء أو أسماء عرض، سنة الميلاد والموقع المُبلغ عنها ذاتيًا، صورة الملف الشخصي، العرق أو الأصل الإثني، العلاقة المتوقعة، نسبة الحمض النووي المشترك، القطع المتطابقة، ومعلومات النسب وشجرة العائلة الاختيارية. كان هذا هو المضاعف. شاهد الفاعل تلك السجلات من خلال سلطة الحسابات التي تم الوصول إليها مباشرة.

بالنسبةلملفات تعريف شجرة العائلة، يتعلق السجل بالمعلومات الممثلة في أشجار العائلة المرتبطة. لا ينبغي مساواة عقدة شجرة العائلة بشكل عرضي مع عميل خدمة فريد أو سجل جيني خام. يمكن للمنتج وصف الأقارب والنسب دون أن يكون كل شخص ممثل صاحب حساب مختبر.

بالنسبةلقوائم المهاجم، فإن حقيقة العرض أو المنشور لا تثبت كل تسمية طبقها البائع. وجد المنظمون أن بعض البيانات تم الإعلان عنها وأنه كان يجب على الإخطارات المتأثرة الكشف عن تلك الحقيقة. شكوى كاليفورنيا لعام 2026 تقدم ادعاءات إضافية حول قوائم مستهدفة، ومفاوضات فدية، ونقاط ضعف في المنتج، وبيانات الشركة. تلك الادعاءات خطيرة، لكن وقت النشر الشكوى هي عريضة بدائية، وليس حكمًا. يجب الاستشهاد بها كقضية الدولة، وليس تحويلها إلى حقيقة مقضية. (شكوى وإعلان النائب العام في كاليفورنيا)

يحمي هذا الفصل الأشخاص المتأثرين من خطأين في آن واحد: التقليل من كشف النسب والعلاقات غير المصرح به لأنه لم يكن دائمًا ملفًا خامًا، والمبالغة في الحدث إلى ادعاء بأن جينومات كاملة لسبعة ملايين شخص أُخذت. كلاهما يشوه المساءلة.

جعل تصميم المنتج النسبة ممكنة

كان الغرض من المنتج هو الاتصال. خلقت خدمة الأقارب الجينيين قيمة من خلال إظهار مجموعة واسعة من المطابقات وسياق كافٍ للتعرف على العلاقات العائلية. لم تستطع الضوابط الأمنية ببساطة القضاء على جميع الرؤية المشتركة دون تعطيل الميزة. لكن يمكنها حوكمة مقدار السلطة التي تتراكمها جلسة واحدة ومدى السرعة التي يمكنها بها ممارسة تلك السلطة.

تتبع خمسة أسئلة تصميم على الأقل.

أولاً،هل يجب أن يكون رسم العلاقات مرئيًا بنفس القدر بعد كل عملية دخول؟جهاز جديد، موقع غير عادي، أو حساب تم استعادته مؤخرًا يمكن أن يحصل على عرض مخفض حتى المصادقة التصعيدية. الهدف ليس إخفاء نتائج الشخص نفسه. بل هو التمييز بين الوصول الذاتي والوصول الجماعي إلى ملفات تعريف أشخاص آخرين.

ثانيًا،ما هو أقصى مدى مفيد للجلسة؟قد يحسب المنتج آلاف المطابقات، لكن ليس من الضروري تقديمها بسرعة الآلة أو كشف نفس الحقول من خلال كل نقطة نهاية. التقسيم إلى صفحات، والميزانيات لكل جلسة، والكشف التدريجي، والصادرات المحددة الغرض يمكن أن ترفع تكلفة الاستخراج مع الحفاظ على قابلية الاكتشاف العادية.

ثالثًا،أي استعلامات تكشف بيانات العلاقة؟يجب أن يفهم القياس عن بعد المنتج. عد طلبات HTTP أضعف من قياس عدد الملفات الشخصية الفريدة التي تم عرضها، وتوسع شجرة العائلة، واسترجاع تقارير النسب، واستعلامات القطع المشتركة، والاجتياز المتكرر عبر العديد من الحسابات. يمكن للهجوم البقاء تحت عتبة طلب عام مع انتهاك كل نمط استخدام علائقي عادي.

رابعًا،أي موافقة تنطبق بعد اختراق حساب المشاهد؟اختار الشخص المشاركة مع أقارب جينيين باستخدام الخدمة، وليس مع أي شخص يمكنه تقديم كلمة مرور قريب. لا يمكن للموافقة توثيق المشاهد. يجب على المنصة فرض الظروف التي بموجبها يظل خيار المشاركة ذا معنى.

خامسًا،هل يمكن للشخص المتصل رؤية أو إلغاء مسار الكشف؟سجل تاريخ الحساب يساعد العميل الذي تم الوصول إليه مباشرة، لكن القريب الذي تم عرض ملفه الشخصي من خلال جلسة شخص آخر ليس لديه سجل جلسة خاص به. لذلك تحتاج الخدمة إلى تحليل حوادث واعٍ بالرسم البياني وإخطار. يجب أن تكون قادرة على الإجابة ليس فقط عن الحسابات التي تم الدخول إليها، ولكن عن الملفات الشخصية الأخرى التي وصلت إليها كل جلسة معادية.

هنا يصبح تقليل البيانات تحكمًا تشغيليًا. إزالة موقع اختياري أو سنة ميلاد أو اسم عائلة من عروض العلاقات الافتراضية يمكن أن يقلل العواقب دون إلغاء المطابقة. فصل اكتشاف الملف الشخصي عن تقارير النسب التفصيلية يمكن أن يخلق حدًا تصعيديًا. الحد من الملفات الشخصية القديمة أو غير النشطة يمكن أن يقلل من المدى المحتفظ به. هذه هي خيارات المنتج، وليست محاضرات حول كلمات المرور.

إعدادات MFA الافتراضية والمسؤولية المشتركة عن كلمات المرور

لا ينبغي للعملاء إعادة استخدام كلمات المرور. إعادة الاستخدام تجعل خرقًا في خدمة واحدة مفتاحًا لأخرى، ويظل المهاجم مسؤولاً عن استخدامها. لكن خطأ العميل لا يستنفد مسؤولية المنصة. تعرف الخدمات أن إعادة استخدام بيانات الاعتماد شائعة بما يكفي لتكون نموذج تهديد قياسي. حذرت لجنة التجارة الفيدرالية الأمريكية في 2017 من أن الشركات التي تحمي الحسابات الحساسة يجب أن تجمع بين تقنيات المصادقة لأن المهاجمين يؤتمتون بيانات الاعتماد المسروقة على نطاق واسع. (إرشادات FTC حول كلمات المرور الآمنة والمصادقة)

كانت مسؤولية 23ANDME متزايدة بسبب مدى الجلسة. العميل الذي تم الوصول إليه مباشرة وضع حسابه الخاص في خطر من خلال إعادة الاستخدام؛ لم يقم بتكوين المنتج لكشف ما يصل إلى آلاف المطابقات. الأقارب المتصلون لم يختاروا كلمة المرور المخترقة على الإطلاق. كانت الشركة هي الفاعل الوحيد القادر على جعل المصادقة الأقوى إلزامية عبر الخدمة.

حدد المنظمون ثلاث فجوات وقائية: MFA الإلزامية، وفحص كلمات المرور المخترقة، وقوة كلمة المرور الدنيا. كان السجل حول فحص كلمات المرور غير متسق داخليًا. قال رد واحد إن الشركة لم تتحقق من مجموعات البيانات المخترقة؛ قالت مقابلة إنها تحققت من 20,000 كلمة مرور متكررة من مجموعة بيانات 2021. أي نسخة كانت أضيق بكثير من الفحص المستمر ضد مجموعة واسعة.

تدعم الإرشادات التقنية الحالية الضوابط المتدرجة. تدعو NIST SP 800-63B إلى فحص كلمات المرور المحتملة مقابل القيم الشائعة أو المتوقعة أو المخترقة، والحد من المعدل الفعال؛ كما تنص بوضوح على أن كلمات المرور ليست مقاومة للتصيد. (NIST SP 800-63B) تضيف إرشادات OWASP لمنع حشو بيانات الاعتماد MFA السياقية، وإشارات الجهاز والاتصال، وتحديد كلمات المرور المسربة، ورؤية أحداث المستخدم، ومقاييس عبر الدفاعات. (ورقة غش OWASP لمنع حشو بيانات الاعتماد) هذه هي معايير، وليست دليلاً على أن تحكمًا واحدًا كان سيوقف كل تقنية.

كان التحقق بخطوتين عبر البريد الإلكتروني الإلزامي تحسنًا ذا معنى عن تسجيل الدخول بكلمة مرور فقط، لكنه ليس أقوى عامل ممكن. إذا كان حساب البريد الإلكتروني يشارك نفس كلمة المرور المخترقة، فقد يتمكن المهاجم من الوصول إلى كليهما. يمكن لمصدقات التطبيق والأساليب المقاومة للتصيد توفير فصل أقوى. يمكن للتصميم الناضج أن يقترن بخط أساس إلزامي يمكن الوصول إليه على نطاق واسع مع خيارات أقوى، وتصعيد قائم على المخاطر، واسترداد مقوى. يجب أن يقيس التبني ومسارات الالتفاف، وليس مجرد الإعلان عن وجود ميزة.

الكشط هو حدث أمني عندما تنجح المصادقة

نجح حشو بيانات الاعتماد فقط في بعض الأحيان بالنسبة لإجمالي المحاولات، لكن الكشط اللاحق جعل تلك النجاحات ذات قيمة. هذا يغير الكشف من مشكلة دخول إلى مشكلة سلوك جلسة.

لم يجد المنظمون تنبيهات عبر خمسة أشهر على الرغم من آلاف الحسابات التي تم الوصول إليها. تمكنوا من تحديد فترتي هجوم مايو وسبتمبر من نسبة عمليات الدخول الناجحة إلى الفاشلة. وجدوا أيضًا أن 23ANDME كانت تمتلك بيانات الجهاز والمتصفح والشبكة اللازمة لأخذ البصمات لكنها لم تستخدمها لهذا الغرض، مستشهدة بضوابطها الأخرى ومخاوف الخصوصية.

تستحق تلك المقايضة عناية. يمكن أن يصبح أخذ بصمات الجهاز تتبعًا تدخليًا إذا تم جمعه بدون حدود أو إعادة استخدامه للإعلان. الإجابة ليست مراقبة غير محدودة باسم الأمن. إنها تحديد الغرض: جمع الحد الأدنى من الإشارات الضرورية، وتحديد الاحتفاظ، وعزل قياس عن بعد الاحتيال عن التسويق، وتوفير الشفافية، وتقييد الوصول، واختبار الفعالية. التكلفة الخصوصية للتحكم تنتمي إلى مراجعة التصميم؛ وكذلك التكلفة الخصوصية لترك ملايين الملفات الشخصية المتصلة قابلة للكشط.

تحتاج الخدمة أيضًا إلى ضوابط مجمعة. عنوان IP واحد ليس الوحدة المفيدة الوحيدة. يمكن للمدافعين تقييم المحاولات لكل مصدر بيانات اعتماد، وعائلة جهاز، وكتلة شبكة، وبصمة أتمتة، ومجموعة جلسات، ونمط عرض ملف شخصي. يمكنهم تعيين ميزانيات للأقارب الفريدين الذين تم عرضهم، واكتشاف الاجتياز الموحد، ومقارنة توقيت التصفح مع السلوك البشري، وتحدي الصادرات عالية المخاطر. الهدف ليس الادعاء بالكشف المثالي عن البوتات. بل هو جعل الاستخراج أبطأ وأكثر ضوضاء وأكثر تكلفة مع إنتاج أدلة يمكن للمحلل التصرف بناءً عليها.

تنطبق اقتصاديات الاتصال بسوء الاستخدام أيضًا على قنوات الاستجابة. يحتاج فريق الأمن إلى طريقة منخفضة الاحتكاك للعملاء والباحثين للإبلاغ عن السلوك المشبوه، لكن كل قناة رخيصة تجذب الضوضاء. يجب أن يحافظ الفرز على الأدوات، ويربط التقارير بالقياس عن بعد، ويصعد بناءً على الإشارات المجمعة. رسالة أغسطس 2023 تظهر لماذا لا يمكن أن يكون رفض الادعاء نهاية السجل: حتى ادعاء الحجم الكاذب يمكن أن يشير إلى فئة حقيقية من النشاط عندما تكون المنصة قد تعطلت بالفعل تحت الأتمتة وشهدت مئات محاولات النقل المشبوهة.

كان على الإخطار أن يتبع الأشخاص، وليس الحسابات

أبلغت الشركة مجموعات مختلفة بين أكتوبر 2023 ويناير 2024 مع تطور تحليلها. هذا مفهوم من حيث المبدأ: يتغير نطاق الحادثة، واليقين المبكر يمكن أن يضلل. كانت النتائج التنظيمية أكثر تحديدًا. إخطارات أكتوبر لأصحاب الملفات الشخصية المتصلة لم تقل إن بعض المعلومات قد نُشرت للبيع. إخطارات لأصحاب الحسابات التي تم الوصول إليها مباشرة وصلت لاحقًا ولم تصف باستمرار جميع حقول إعدادات الحساب أو فترة الهجوم من أبريل إلى سبتمبر. تقارير المنظم الأولية أغفلت احتمال أن الحمض النووي الخام والتقارير الصحية والنسب في الحسابات المخترقة قد تأثرت.

ورث تصميم الإخطار نموذج بيانات المنتج. إذا بدأ نظام الاستجابة بقائمة من معرفات الحسابات المخترقة، فسيقوم بشكل طبيعي بالاتصال بأصحاب الحسابات أولاً. لكن أكبر مجموعة متأثرة كانت من الأشخاص الذين تم الوصول إلى ملفاتهم الشخصية من خلال حساب شخص آخر. تحتاج عملية خرق واعية بالرسم البياني إلى سجل تعرض: جلسة معادية، حساب مصدر، نقطة نهاية تم عرضها، ملف شخصي متصل، الحقول المتاحة، الحقول المستردة، الوقت، الولاية القضائية، وحالة الإخطار.

يمنع هذا السجل أيضًا الإخطار المفرط. الشخص الذي تم عرض اسمه ونسبة الحمض النووي المشتركة يجب أن يتلقى إخطارًا يقول ذلك، وليس تحذيرًا عامًا يوحي بأن ملف جيني خام قد تم تنزيله. صاحب الحساب الذي تم الوصول إليه مباشرة مع إمكانية الوصول إلى التقارير الصحية يحتاج إلى رسالة مختلفة. موضوع شجرة العائلة الذي ليس صاحب حساب قد يحتاج إلى طريق قانوني وعملي مختلف مرة أخرى.

وجد التقرير المشترك أن الخرق تجاوز عتبات الإخطار بموجب كل من PIPEDA الكندية واللائحة العامة لحماية البيانات في المملكة المتحدة. كما وجد تأخيرات ونواقص في المحتوى بموجب تلك الأنظمة. اعتبر المفوض الكندي الضمانات المحسنة على أنها تحل مشكلة التحكم الأمني، بينما فرض المنظم في المملكة المتحدة غرامة قدرها 2.31 مليون جنيه إسترليني بسبب إخفاقات شملت 155,592 مستخدمًا في المملكة المتحدة وانتهاكات استمرت حتى نهاية 2024. (سجل الإنفاذ لـ 23ANDME لدى ICO في المملكة المتحدة) الغرامة ليست ثمنًا عالميًا للخرق؛ إنها تعكس صلاحيات وسكان وتحليل قانوني لسلطة واحدة.

موقع البيانات هو أكثر من مكان وجود الخادم

تظهر هذه الحادثة ثلاث مواقع مختلفة.

موقع التخزينيسأل أين تُحفظ المعلومات الشخصية والعينات والسجلات والنسخ الاحتياطية ماديًا أو تعاقديًا. هذا مهم لآليات النقل، والوصول الحكومي، ومخاطر البائعين، وتوقعات العملاء. لكن لا يوجد دليل مراجَع يظهر أن نقل نفس المنتج دون تغيير إلى خادم في بلد آخر كان سيمنع بيانات اعتماد صالحة معاد استخدامها من فتح نفس الملفات الشخصية.

موقع الوصوليسأل أين تُفرض السلطة. في هذه الحالة كان الحد الحاسم منطقيًا: جلسة عميل ناجحة يمكنها الوصول إلى ملفات شخصية متصلة. مصادقة أقوى، ومخاطر الجلسة، وحدود الاستعلام، وتفويض على مستوى الملف الشخصي كانت ستغير ذلك الموقع حتى لو بقي كل بايت في نفس المنشأة.

موقع قانونييسأل أي قانون ومنظم يرتبط بالشخص، والمراقب، والمعالجة، والنقل. تمكنت السلطات الكندية والبريطانية من التحقيق بشكل مشترك في شركة أمريكية لأن مقيمين كنديين وبريطانيين تأثروا وطبقت قوانينهم الخاصة. يعطي تقريرهم أعدادًا منفصلة للدول، وواجبات إخطار منفصلة، واستنتاجات منفصلة. قلل التنسيق من تكرار جمع الحقائق، لكنه لم يدمج PIPEDA واللائحة العامة لحماية البيانات في المملكة المتحدة في قانون واحد.

يميز بيان الخصوصية الحالي للشركة بين المعلومات الجينية، ومعلومات العينة، والمعلومات المُبلغ عنها ذاتيًا، وبيانات الحساب، وخيارات المشاركة، ويوفر حقوقًا وجهات اتصال خاصة بالمنطقة. كما يقول إن حذف الحساب يؤدي إلى إلغاء الاشتراك في البحث والتخلص من العينة، مع مراعاة الحدود المذكورة. السياسة الحالية مفيدة لتقييم الالتزامات الحالية، لكنها ليست دليلاً على ما فهمه كل عميل في عام 2023 أو أن الضوابط التاريخية عملت كما وعدت. (بيان الخصوصية الحالي لـ 23ANDME)

جعل الإفلاس الموقع القانوني ملموسًا. قدمت شركة 23ANDME Holding Co. والشركات التابعة لها التماسات الفصل 11 في مارس 2025. حذر رئيس FTC وصي الولايات المتحدة من أن بيع أو نقل المعلومات الجينية الحساسة والعينات والصحة والعلاقات يجب أن يحترم الوعود المتعلقة بالخصوصية والاختيار والحذف. (رسالة FTC بشأن إفلاس 23ANDME) كتب المنظمون الكنديون والبريطانيون بشكل منفصل إلى المسؤولين الأمريكيين حول الالتزامات تجاه الأشخاص في ولاياتهم القضائية. (خطاب خصوصية الإفلاس المشترك كندا-المملكة المتحدة)

في يوليو 2025، أغلق بيع الأصول التشغيلية بشكل كبير المعتمد من محكمة الإفلاس مع معهد أبحاث TTAM، الذي سمي لاحقًا معهد أبحاث 23ANDME، مقابل 305 ملايين دولار. تعهد المشترى بالحفاظ على خيارات الخصوصية الحالية والحذف وإلغاء الاشتراك في البحث؛ وتقييد بعض عمليات النقل المستقبلية للكيانات المحلية المؤهلة التي تتبنى السياسات؛ وإنشاء مجلس استشاري للخصوصية؛ وتقديم تقارير عن إجراءات الخصوصية. يؤكد إيداع SEC الإغلاق، بينما تصف مواد شراء الأصول الضمانات. (نموذج 8-K لإغلاق بيع 23ANDME)

تظهر تلك الشروط أن حوكمة البيانات يمكن أن تبقى كالتزام من خلال تغيير الملكية بدلاً من السفر كأصل غير مقيد. لا تجعل الجغرافيا ضمانة كاملة، ولا تمحو الخلافات حول ما إذا كانت الموافقة الفردية مطلوبة قانونًا للنقل. اعترض النائب العام للولاية على البيع المقترح؛ تم تذكير العملاء بخيارات الحذف والتخلص من العينات؛ ومع ذلك تم الصفقة تحت سلطة المحكمة وشروط متفاوض عليها. الدرس ليس أن الإفلاس يلغي تلقائيًا وعود الخصوصية، أو أن سياسة الخصوصية يمكنها تسوية كل دائن ومسألة قانون الولاية. بل أن شروط الإدارة، وقدرة الحذف، والحقوق الخاصة بالولاية القضائية تحتاج إلى التصميم قبل الضائقة، عندما تكون الأدلة والموظفون أقوى.

التكاليف تقيس أشياء مختلفة

أبلغت 23ANDME عن 4.6 مليون دولار من نفقات الحادثة في السنة المالية 2024، قابلة للمقاصة بـ 2.8 مليون دولار من التعافي التأميني المحتمل، بشكل أساسي للاستشارات التكنولوجية والعمل القانوني ومستشارين آخرين. تلك هي تكاليف استجابة الشركة، وليس تقييمًا لضرر العميل.

أنتج التقاضي الخاص مجموعة أخرى من الأرقام. بدأت تسوية الفصل المقترحة في الولايات المتحدة بصندوق غير قابل للاسترداد بقيمة 30 مليون دولار وانتقلت إلى إجراءات الإفلاس. قدم الهيكل النهائي صندوقًا لا يقل عن 30 مليون دولار وما يصل إلى 50 مليون دولار، وفئات نقدية للمطالبات المؤهلة، وخمس سنوات من مراقبة الخصوصية والطبية والجينية. منحت محكمة الإفلاس الموافقة النهائية في 30 يناير 2026. يقول موقع التسوية الرسمي إن الفصل يخص حوالي 6.4 مليون مقيم أمريكي، وأن الموعد النهائي للمطالبات النقدية قد مضى، وأن التوزيع ينتظر تسوية الإفلاس. (موقع تسوية بيانات 23ANDME الرسمي)

تحل التسوية المطالبات الخاصة وتطلق المطالبات المشمولة وفقًا لشروطها. إنها ليست نتيجة محاكمة بأن كل ادعاء مقدم كان صحيحًا، ومزايا التسوية ليست دليلاً على أن المدعي عانى من سوء استخدام جيني معين. لا ينبغي الخلط بين تسمية المراقبة والقدرة التقنية على عكس التعرض. إنها خدمة تعريفية وآلية دعم مخاطر.

وصف نموذج 10-K للسنة المالية 2025 التزامات إجمالية بقيمة 37.5 مليون دولار عبر الفصل والتحكيم وتسويات محاكم الولاية كما كانت مهيكلة آنذاك، بالإضافة إلى التعرض للتقاضي والتنظيم. هذا الإيداع يسبق التعديلات النهائية للإفلاس والموافقة، لذلك لا ينبغي استبداله بوصف الصندوق الذي تديره المحكمة لاحقًا. يظل دليلاً مفيدًا على كيفية تراكم قنوات نزاع متعددة حول حادثة واحدة. (نموذج 10-K للسنة المالية 2025 لـ 23ANDME)

تقيس الغرامة البريطانية انتهاكًا للقانون العام لولاية قضائية وفترة محددة. شكوى كاليفورنيا لعام 2026 هي إجراء إنفاذ عام آخر، تزعم إخفاقات بموجب قانون خصوصية المعلومات الجينية وقانون خصوصية المستهلك في كاليفورنيا وقانون الأمان المعقول وقوانين حماية المستهلك. كما تزعم حقائق تتجاوز تقرير 2025 المشترك. تظل تلك ادعاءات ما لم يتم الاعتراف بها أو إثباتها. التسوية الخاصة، والغرامة التنظيمية، والتعافي التأميني، وعائدات بيع الإفلاس تنتمي إلى أعمدة منفصلة؛ إضافتها في "تكلفة خرق" واحدة سينتج إجمالياً أنيقاً مالياً لكنه لا معنى له قانونياً.

أصبح العلاج محددًا بما يكفي للاختبار

بحلول 31 ديسمبر 2024، أخبرت 23ANDME المحققين الكنديين والبريطانيين أنها نفذت مجموعة ضوابط أوسع. قبل المنظمون التدابير مجتمعة على أنها كافية لحل مخاوف الضمانات التي حددوها، وعامل المنظم في المملكة المتحدة الشركة على أنها تفي بمتطلبات الأمان ذات الصلة من تلك النقطة. هذا هو نتيجة إيجابية ذات معنى، مع حد: لا يشهد على الفعالية الدائمة بعد تغيير الملكية والتنظيم.

شملت التغييرات المبلغ عنها حدًا أدنى لكلمة المرور من 12 حرفًا، وفحوصات مقابل مجموعة أكبر بكثير من كلمات المرور المخترقة عند التسجيل وتسجيل الدخول وإعادة التعيين، والتحقق بخطوتين عبر البريد الإلكتروني الإلزامي، وحماية حول تنزيلات البيانات الخام والصحية، وتأخير 48 ساعة قبل تسليم الحمض النووي الخام، وتمارين محاكاة حشو بيانات الاعتماد، ومراقبة منقحة، وأكثر من 253 تنبيه SIEM جديد، ومراقبة جلسة قائمة على السلوك، ومراقبة الويب المظلم، وميزة المتصفح الموثوق، وسجل أحداث الحساب القابل للتنزيل. تم أيضًا تشديد حوكمة المنتج والأمن والهندسة.

جرد الضوابط ليس نفس نتيجة الضوابط. الخطوة التالية المفيدة هي طلب الأدلة دون طلب تفاصيل قابلة للاستغلال.

يوضح التأخير لمدة 48 ساعة احتكاكًا جيدًا عندما يقترن بإخطار آمن وإلغاء: يحرم الجلسة المعادية من الاستخراج الفوري ويمنح المستخدم الحقيقي وقتًا للرد. لكن التأخير بدون قناة اتصال موثوقة يؤجل الخسارة فقط. قد يضيف فحص تاريخ الميلاد شكليات مع الاعتماد على معلومات مرئية بالفعل في مكان آخر. يجب تقييم الضوابط كسلسلة.

ينطبق نفس الشيء على التحقق بخطوتين عبر البريد الإلكتروني الإلزامي. من المحتمل أن يمنع النسخة البسيطة من هذه الحملة عندما تتوفر كلمة مرور 23ANDME فقط. إنه أضعف عندما يكون حساب البريد الإلكتروني مخترقًا أيضًا. يجب تشجيع العوامل الأقوى لجميع المستخدمين ومطلوبة للإجراءات المهمة بشكل خاص. يجب على المنصة الحفاظ على مسارات الاسترداد للأشخاص الذين يفقدون العوامل دون السماح لتفاعل الدعم بأن يصبح أسهل مسار التفاف.

من يتحكم في ماذا

الفاعل التهديديتحكم في قرار اختبار بيانات الاعتماد المسروقة، ودخول الحسابات، وأتمتة وظائف المنتج، وكشط الملفات الشخصية، ونشر المعلومات أو عرضها. القصد الإجرامي لا ينتقل إلى الشركة لمجرد أن الضوابط كانت ضعيفة.

العملاء ذوو بيانات الاعتماد المعاد استخدامهايتحكمون في اختيار كلمة المرور عبر الخدمات وكان يجب عليهم استخدام كلمة مرور فريدة وMFA متاحة. مسؤوليتهم حقيقية لكنها محدودة. لم يتحكموا في المراقبة، أو تفويض الميزة، أو إبطال الجلسة، أو عدد الأقارب المرئيين من خلال حساباتهم.

الأقارب المتصلون وأصحاب الملفات الشخصيةيتحكمون في بعض خيارات المشاركة والحقول الاختيارية. لم يتحكموا في أمان كل حساب مطابق أو قرار المنصة بمنح رؤية واسعة بعد تسجيل الدخول بكلمة مرور فقط. الاشتراك في ميزة ليس موافقة على الأتمتة المعادية.

23ANDMEتتحكم في خط الأساس لمصادقة العملاء، وفحص كلمات المرور، وتصميم الجلسة والتصدير، ورؤية المطابقة، والقياس عن بعد، وفرز الحوادث، وتوقيت الاستجابة، ورسم خرائط البيانات، والإخطارات. كما اختارت نموذج الحساسية ويمكنها مقارنة حماية حسابات الموظفين بحماية حسابات العملاء. لهذا السبب تقع المساءلة العملية بشكل أكبر على الخدمة على الرغم من أنها لم تنشئ بيانات الاعتماد المعاد استخدامها.

المنظمون والمحاكميتحكمون في سبل الانتصاف ضمن قوانين وإجراءات معينة. يمكن للمفوضين الكندي والبريطاني إصدار نتائج حول الضمانات والإخطارات لسكانهم. يمكن للسلطة البريطانية فرض غرامتها. يمكن لمحكمة الإفلاس الموافقة على شروط البيع والتسوية. يمكن لكاليفورنيا مقاضاة قضية ولاية. لا أحد لديه ولاية قضائية عالمية على كل عميل أو كل سؤال.

المعهد الخلفيتحكم في الخدمة التشغيلية وورث التزامات الإدارة بعد بيع الأصول. الشركة القابضة العامة السابقة، المعاد تسميتها شركة Chrome Holding Co.، تظل ذات صلة بتوزيعات الإفلاس والتقاضي. التسمية الواضحة مهمة لأن العملاء يجب أن يعرفوا أي كيان يدير المنتج، وأي كيان يحتفظ بالبيانات، وأي كيان مدين بالتزامات التسوية، وأي كيان يتلقى طلب حذف.

ما يبقى غير معروف

لا يتضمن السجل العام التقرير الجنائي الكامل، أو جميع سجلات الحوادث، أو البنية التحتية المعادية بالكامل، أو المصدر الدقيق لبيانات الاعتماد، أو كل رمز نقطة نهاية، أو سجل الاستعلام الكامل. لاحظ المنظمون صراحةً المواد المطلوبة المفقودة ونقاط الضعف في تسجيل التنزيل الخام. يجب أن يحتفظ الحساب الواثق بتلك الفجوات.

لم يثبت أن مخزن بيانات اعتماد 23ANDME نفسه تم اختراقه. قالت الشركة باستمرار إنها لم تجد أي indication بأنها قدمت أزواج اسم المستخدم وكلمة المرور، ووصف المنظمون حملة حشو بيانات اعتماد تستخدم بيانات اعتماد مسروقة في حوادث أخرى.

لم يثبت أنه تم تنزيل ما يقرب من سبعة ملايين ملف نمط جيني خام أو تقرير صحي. أكبر عدد سكان يتعلق بمعلومات الأقارب الجينيين والنسب وشجرة العائلة. حقول الحساب المباشر وأحداث البيانات الخام هي فئات أصغر ومُعدة بشكل منفصل.

لم يثبت أن كل إعلان مهاجم كان دقيقًا، أو أن دافع أيديولوجي معين قاد اختيار أو تسويق السجلات، أو أن كل سجل مُدعى كان فريدًا. حقيقة أن المعلومات تم تسويقها باستخدام فئات النسب الحساسة مهمة للإخطار وتقييم المخاطر؛ لا يزال الدافع والاستخدام النهائي يتطلبان أدلة.

لم يثبت في المواد التي تمت مراجعتها أن شخصًا معينًا عانى من تمييز في العمل، أو رفض تأمين، أو إصابة طبية، أو استهداف من قبل سلطات إنفاذ القانون، أو سرقة هوية بسبب هذا الحدث. تلك هي مخاوف يمكن تصورها حول البيانات الجينية والهوية، لكن الاحتمال ليس نتيجة.

كما لم يثبت أن العلاج سيبقى فعالاً إلى أجل غير مسمى. قبل المنظمون التدابير المجمعة حتى نهاية 2024. الإفلاس، وتغييرات القوى العاملة، والنقل إلى معهد جديد تجعل الضمان المستمر مهمًا بشكل خاص. تحكم اجتاز مراجعة واحدة يمكن أن يتدهور من خلال تغيير التكوين، أو ضغط الميزانية، أو مسار منتج جديد.

المساءلة تبدأ عند حافة حساب شخص آخر

بدأت الحادثة ببيانات اعتماد عملت. أصبحت كشفًا جماعيًا لأن الخدمة أرفقت سلطة أكبر لتلك البيانات من سجل الشخص الذي تم الوصول إليه مباشرة. هذه هي عدسة المساءلة التي تستحق الحمل إلى ما بعد 23ANDME.

أي منصة مبنية حول الأسر، الفرق، المرضى، الطلاب، أشجار العائلة، أو الرسوم البيانية الاجتماعية يمكنها كشف شخص واحد من خلال جلسة شخص آخر. لذلك المقام الصحيح ليس الحسابات المخترقة. بل هو الأشخاص والسجلات التي يمكن الوصول إليها من السلطة المخترقة. التحكم الصحيح ليس مجرد دخول أقوى. بل هو دخول أقوى مقترن بمدى جلسة محدود، وكشف كشط واعٍ بالمنتج، وأدلة تصدير موثوقة، واحتواء سريع، وإخطار على مستوى الشخص.

تتبع سيادة البيانات نفس المنطق. خادم محلي لا يخلق تحكمًا محليًا إذا كانت جلسة عن بُعد يمكنها اجتياز رسم بياني علائقي عالمي. سياسة الخصوصية لا تحافظ على الخيار إذا اختفت التزامات الحذف والموافقة والنقل أثناء البيع. الولاية القضائية القانونية لا تتطابق بدقة مع بنية النظام، لذلك يجب على الخدمة حمل حالة الإقامة والحقوق والإخطار جنبًا إلى جنب مع البيانات.

الاستنتاج الأكثر دفاعًا هو أضيق من عنوان الخرق الأعلى صوتًا وأكثر تطلبًا من تفسير الشركة الأول. فتحت إعادة استخدام كلمة المرور الباب. وسع تصميم المنتج العرض. فشلت المراقبة في التعرف على المرور المتكرر. أغلقت الاستجابة والإخطار أجزاء مختلفة منه في تواريخ مختلفة. الضوابط اللاحقة، ونتائج المنظمين، وشروط المحكمة خلقت سجل مساءلة قابل للقياس. الالتزام المتبقي هو إثبات، باستمرار، أن حساب شخص واحد لم يعد بإمكانه أن يصبح طريق استخراج رخيص إلى آلاف الأرواح الأخرى.