23ANDME

23andMe ist ein Risiko- und Rechenschaftsfall, da das Problem der Rechenschaftspflicht darin besteht, dass die Kontoeinstellungen eines Benutzers Informationen über Verwandte preisgeben können, sodass Einwilligungs- und Sicherheitskontrollen die vernetzte genetische Identität und nicht den isolierten Kontobesitz berücksichtigen müssen.

Der 23andMe-Vorfall durch Credential Stuffing war nicht nur ein Fall von Kontodiebstahl. Er demonstrierte, dass eine Beziehungsfunktion aus einem kompromittierten Konto einen gemeinsamen Gefährdungspfad für viele schaffen kann, die das Passwort nicht wiederverwendeten, die Sitzung nicht genehmigten und die Extraktion nicht sahen.

Der Kern des 23ANDME-Vorfalls von 2023 ist nicht, dass einige Kunden Passwörter wiederverwendet haben. Sondern dass eine einzige erfolgreiche Anmeldung Informationen über viele genetische Verwandte preisgeben konnte, die dieses Passwort nicht wiederverwendet hatten, das kompromittierte Konto nicht kontrollierten und die Sitzung, die sie offenlegte, nicht sehen konnten.