23ANDME y la brecha de credential stuffing que convirtió a los familiares en una superficie de exposición

Resumen

• Acceso confirmado por capas:23ANDME reveló inicialmente que aproximadamente el 0,1 % de las cuentas de usuario, habitualmente descritas en aquel momento como unas 14 000, fueron accedidas con credenciales reutilizadas de otros servicios. La investigación conjunta posterior de Canadá y el Reino Unido informó de 18 222 cuentas accedidas directamente en todo el mundo. A través de esas sesiones, el atacante extrajo información de DNA Relatives y Family Tree perteneciente a casi siete millones de clientes.
• Los familiares ampliaron el radio de explosión:un cliente que optaba por DNA Relatives hacía visible a las coincidencias información seleccionada de perfil, ascendencia y parentesco. Por lo tanto, el atacante no necesitaba que cada persona afectada reutilizara una contraseña. El producto convertía un pequeño conjunto de inicios de sesión válidos en autoridad para ver un gráfico de relaciones mucho más amplio.
• La detección y la respuesta fallaron en varios puntos:los reguladores identificaron períodos intensos de credential stuffing, una caída de la plataforma en julio causada por más de un millón de inicios de sesión en una cuenta, cientos de intentos de transferencia de perfiles y un aviso en agosto de un gran robo. La campaña amplia no se confirmó hasta que los datos robados se anunciaron en octubre de 2023. Posteriormente se implementaron la verificación en dos pasos obligatoria, el restablecimiento global de contraseñas y controles más estrictos sobre las descargas de ADN bruto.
• La responsabilidad está dividida, pero no de manera uniforme:el atacante es responsable del acceso no autorizado, la extracción y la publicación. Los clientes que reutilizaron contraseñas crearon una vía inicial. 23ANDME controlaba en solitario los valores predeterminados de autenticación, la detección de contraseñas comprometidas, la autoridad de la sesión, los límites de las consultas de parentesco, la telemetría, la respuesta y la notificación. Las conclusiones regulatorias posteriores, una multa del Reino Unido, un acuerdo de demanda colectiva, las protecciones de la venta por quiebra y un caso de aplicación de la ley en California aún en disputa miden diferentes cuestiones legales; ninguno respalda afirmaciones de un uso indebido genético específico sin pruebas.

Una contraseña, muchas personas

Un recuento convencional de apropiación de cuentas pregunta cuántas cuentas ha penetrado un atacante. Eso es necesario aquí, pero radicalmente incompleto. DNA Relatives se diseñó para mostrar a un cliente participante un conjunto de coincidencias genéticas. Según el nivel de suscripción, según la investigación conjunta, una cuenta habilitada podía ver 1 500 o 5 000 perfiles de DNA Relatives. Una coincidencia podía exponer un nombre para mostrar, parentesco predicho, porcentaje de ADN compartido y campos opcionales de ascendencia, ubicación, año de nacimiento, fotografía, apellido y árbol genealógico. La descripción actual de 23ANDME sigue dejando claro el modelo de intercambio subyacente: los participantes eligen aparecer para las coincidencias genéticas y los detalles seleccionados se vuelven visibles dentro de ese contexto de parentesco. (Configuración de privacidad y visualización de DNA Relatives de 23ANDME)

Eso no era lo mismo que publicar un perfil en la web abierta. La visibilidad estaba condicionada a una cuenta autenticada de 23ANDME, a la participación en la función y a una relación de coincidencia genética calculada por el servicio. Pero el intercambio condicional puede crear una amplia superficie de autorización. Una vez que un atacante suplantaba con éxito a un cliente participante, el servicio trataba la sesión como autorizada para ver información suministrada por otras personas. Esas otras personas podían haber usado contraseñas únicas y una autenticación más fuerte. Sin embargo, su seguridad dependía en parte de la cuenta conectada más débil y de los controles que limitaban lo que esa cuenta podía recuperar.

Este es el problema del perfil compartido. El titular de la cuenta comprometida y el interesado cuyos datos quedaron expuestos suelen ser personas diferentes. Uno controla la credencial; otro suministró el perfil visible; la plataforma define la relación y concede el acceso. Un análisis que atribuye el suceso por completo a la reutilización de contraseñas derrumba esos roles. También pasa por alto la decisión de producto que multiplicó el valor de cada inicio de sesión exitoso.

La distinción es especialmente importante en un servicio genético porque la información de parentesco es inherentemente relacional. Un porcentaje de ADN compartido describe una conexión entre al menos dos personas. Un árbol genealógico puede incluir a personas que nunca abrieron una cuenta. Una relación predicha se genera a partir de datos comparativos, no en propiedad operativa de un solo lado. El consentimiento de un cliente para participar en una función de coincidencia no le da control técnico sobre cómo se detecta o restringe la sesión comprometida de otro cliente.

Nada de esto demuestra un daño genético específico. El expediente revisado no establece que un empleador, aseguradora, organismo gubernamental o responsable de decisiones médicas utilizara la información expuesta contra una persona afectada. Sí establece el acceso no autorizado a cuentas, la recopilación automatizada, la publicación u oferta en línea de cierta información y la exposición de campos definidos de perfil y cuenta. La responsabilidad debe basarse en esos hechos demostrados y en los riesgos que los reguladores estaban legalmente obligados a evaluar, no en historias inventadas posteriores.

Las pruebas tienen cuatro cajas diferentes

El registro público se hizo más detallado a lo largo de dos años, y las etiquetas importan. Cuatro categorías de pruebas no deben mezclarse.

El formulario 8-K modificado de diciembre de 2023 de 23ANDME es un relato principal de la empresa. Decía que un actor de amenazas accedió al 0,1 % de las cuentas de usuario donde el nombre de usuario y la contraseña de 23ANDME coincidían con credenciales previamente comprometidas o disponibles en otros lugares. También decía que el actor utilizó esas cuentas para acceder a archivos que contenían información de perfil de ascendencia que otros usuarios habían optado por compartir a través de DNA Relatives, y publicó cierta información en línea. La empresa afirmó no tener indicios de que fuera la fuente de las credenciales. (23ANDME formulario 8-K modificado)

El informe conjunto de junio de 2025 de la Oficina del Comisionado de Privacidad de Canadá y la Oficina del Comisionado de Información del Reino Unido es la reconstrucción pública consolidada más sólida. Se basó en las comunicaciones de la empresa, entrevistas con el personal, material de fuentes abiertas y análisis de los reguladores. También deja constancia de una limitación importante: los reguladores no recibieron todos los documentos solicitados, incluidos ciertos registros internos de incidentes y el informe forense, porque 23ANDME alegó privilegio legal. Eso no anula las conclusiones. Significa que el informe es inusualmente detallado pero no una divulgación completa del expediente forense subyacente. (Informe de investigación conjunta Canadá-Reino Unido)

El blog de la empresa, los informes bursátiles, el informe de los reguladores, el acuerdo aprobado por el tribunal y la demanda posterior responden a preguntas diferentes. Deben corroborarse mutuamente cuando sea posible, pero no deben forzarse a una única narrativa sin fricciones. El cambio de una estimación inicial del 0,1 % a la cifra posterior de 18 222 cuentas de los reguladores es un buen ejemplo: refleja la fecha de notificación, el desarrollo de las pruebas y el método de recuento. No es motivo para llamar mentira a una cifra simplemente porque la otra llegó después.

De abril a octubre de 2023: el ataque en el tiempo

Antes de abril: cuentas sensibles con protección opcional

En el momento del incidente, los clientes podían iniciar sesión con una dirección de correo electrónico y una contraseña. La autenticación multifactor basada en aplicación y el inicio de sesión único de Apple o Google estaban disponibles pero eran opcionales. La investigación conjunta determinó que aproximadamente el 78 % de los clientes no utilizaba ni MFA ni SSO; solo el 0,2 % utilizaba la MFA basada en aplicación ofrecida. Las cuentas de empleados que accedían a información de la empresa tenían MFA o SSO obligatorios, mientras que las cuentas de clientes no.

Esa asimetría importa. La infraestructura interna se trataba como si requiriera un segundo factor, pero una cuenta de consumidor podía exponer informes de salud, resultados de ascendencia, información de parentesco y una vía para solicitar datos de genotipo bruto solo con una contraseña. Los reguladores también descubrieron que 23ANDME no había simulado ataques de credential stuffing contra el servicio de atención al cliente y no tenía un libro de jugadas de incidentes específico para ese patrón de ataque. Sus pruebas de penetración hacían hincapié en la infraestructura de back-end.

Una MFA opcional no es ausencia de control. Los clientes que la activaron recibieron una protección significativa, y los reguladores dijeron que ninguna de las cuentas que utilizaban MFA o SSO de Apple o Google fue víctima de credential stuffing en esta campaña. Pero una salvaguarda opcional traslada el riesgo de adopción al usuario incluso cuando el servicio ha optado por concentrar datos inusualmente sensibles y visibilidad entre cuentas. La pregunta adecuada no es si la MFA existía en una página de configuración. Es si el nivel de garantía predeterminado coincidía con lo que una sesión exitosa podía hacer.

29 de abril al 16 de mayo: el primer período intenso

La cronología posterior de los reguladores sitúa la campaña entre el 29 de abril y el 20 de septiembre de 2023. Durante el primer período intenso, que terminó el 16 de mayo, se accedió con éxito a 9 974 cuentas. El credential stuffing se diferencia de la adivinación por fuerza bruta contra una cuenta: el atacante prueba pares de nombre de usuario y contraseña obtenidos de otras filtraciones o fuentes, esperando que algunas personas los hayan reutilizado. Por lo tanto, un inicio de sesión correcto puede parecer normal si la supervisión examina cada cuenta de forma aislada.

La economía favorece al atacante. Los corpus de credenciales son reutilizables en distintos servicios, los intentos de inicio de sesión pueden distribuirse y la automatización convierte una baja tasa de éxito en una campaña viable. El servicio asume los costes de los controles de bots, la detección de anomalías, la fricción del cliente y el soporte. El atacante solo necesita suficientes sesiones exitosas para justificar esos costes. En este caso, cada sesión exitosa también podía abrir una vista a miles de perfiles relacionados, haciendo que el rendimiento esperado por credencial válida fuera mucho mayor que el contenido de esa cuenta por sí sola.

Esta es la economía de contacto abusivo del suceso. El primer contacto del atacante con el servicio fue un intento de inicio de sesión. Un contacto exitoso se convertía en una sesión duradera. La sesión se convertía entonces en un canal de consulta hacia los perfiles compartidos de otras personas. Cada límite que resultaba barato de atravesar aumentaba el valor de extracción: otro inicio de sesión, otra página de coincidencias, otra solicitud de árbol genealógico, otro lote de datos de perfil. Por lo tanto, las defensas tenían que poner precio a toda la secuencia, no solo a la comprobación de contraseña.

6 de julio: un millón de inicios de sesión y una caída de la plataforma

El 6 de julio, según el análisis de los reguladores de los registros de inicio de sesión de clientes, un programa informático inició sesión en una cuenta gratuita sin muestra de ADN más de un millón de veces en un solo día. La actividad colapsó temporalmente la plataforma y estaba vinculada a un intento fallido de iniciar transferencias de perfiles. El suceso fue operativamente ruidoso. También era estructuralmente relevante: la transferencia de perfil es una forma de mover la gestión de un perfil genético entre cuentas.

23ANDME investigó y tomó medidas contra las transferencias no autorizadas, pero no relacionó la actividad con la campaña más amplia de credential stuffing. Una caída de la plataforma no es automáticamente prueba de una violación; los incidentes de disponibilidad pueden tener muchas causas. Sin embargo, en contexto, era una señal de que un flujo de trabajo autenticado se estaba automatizando a un volumen excepcional. El fallo de responsabilidad identificado por los reguladores no fue no deducir toda la campaña a partir de un gráfico. Fue no combinar esta anomalía con los sucesos posteriores.

Del 28 al 30 de julio: unos 400 intentos de transferencia

A finales de julio, el actor intentó automatizar las transferencias de perfiles de aproximadamente 400 cuentas. 23ANDME deshabilitó las solicitudes de transferencia, bloqueó temporalmente las cuentas potencialmente afectadas, exigió el restablecimiento de contraseñas a esos clientes y añadió una alerta por volumen anormal de transferencias. Su investigación interna concluyó que se había accedido a información limitada en 19 cuentas de clientes estadounidenses.

Esta respuesta muestra que la empresa podía actuar de forma limitada y rápida en torno a un flujo de trabajo reconocido. También puso de manifiesto una debilidad en el control de contraseñas: un cliente podía restablecer una cuenta a una contraseña utilizada anteriormente. 23ANDME cambió ese comportamiento en agosto. Pero la investigación no identificó que un ataque más amplio ya había accedido a miles de cuentas. El control se limitó al síntoma: el abuso de transferencias, no al sistema de acceso a cuentas y extracción que lo rodeaba.

10 de agosto: una reclamación descartada como un engaño

23ANDME recibió entonces mensajes en el portal del cliente de un individuo que afirmaba tener datos de más de 10 millones de clientes por un total de 300 terabytes. Un empleado también observó una afirmación similar en Reddit con el mismo nombre. El equipo de seguridad investigó y catalogó la afirmación como un engaño.

La cifra es una afirmación del atacante, no una medida confirmada, y debe seguir etiquetándose como tal. Los reguladores posteriores no validaron los 300 terabytes ni el robo de 10 millones de clientes. Su conclusión versó sobre la idoneidad de la investigación: las reclamaciones de brechas eran raras para la empresa, y esta afirmación llegó después del colapso de julio y los intentos de transferencia. Vistos en conjunto, esos acontecimientos justificaban una investigación más profunda. El informe concluyó que una investigación más sólida en agosto podría haber revelado la campaña antes del segundo período intenso.

Este punto es importante para la notificación de abusos. Una bandeja de entrada puede verse inundada de afirmaciones inverosímiles, extorsión, informes de investigadores, quejas de clientes y ruido. Tratar cada mensaje como verdadero es imposible. Tratar el triaje como la decisión final también es peligroso. Los servicios de alto riesgo necesitan una regla de escalado que combine la novedad de la reclamación, los artefactos del reclamante, las anomalías contemporáneas y las vías de ataque conocidas. El coste impuesto a un abusador para presentar una reclamación puede ser casi nulo; el coste de una investigación forense completa no lo es. La gobernanza determina cuándo suficientes señales independientes justifican asumir ese coste.

Septiembre: el segundo período intenso

El actor reanudó el credential stuffing intenso en septiembre y comprometió otras 4 364 cuentas. A lo largo de la campaña, los reguladores encontraron dos distorsiones visibles en la proporción de inicios de sesión exitosos frente a fallidos, en mayo y septiembre. 23ANDME disponía de herramientas capaces de detectar el ataque, pero no estaban configuradas para alertar sobre el patrón. El establecimiento de umbrales era en gran medida manual, y la empresa no utilizaba la información disponible de dispositivo, navegador y red para crear una huella del acceso sospechoso de clientes.

Esto es más preciso que decir que el servicio no tenía supervisión. Tenía un firewall de aplicaciones web, reglas basadas en IP, desafíos, límites de velocidad, una función de operaciones de seguridad, herramientas SIEM y un programa de recompensas por errores. El fallo fue que el conjunto de controles no modeló el ataque tal como se producía. Una campaña distribuida puede eludir los simples límites por IP. Las credenciales correctas pueden eludir los bloqueos por inicio de sesión fallido en las cuentas que importan. La extracción de datos tras el inicio de sesión puede parecer un uso entusiasta del producto a menos que el sistema mida el recorrido del grafo, la repetición de consultas, la velocidad de la sesión y el alcance agregado de las relaciones.

Del 1 al 10 de octubre: descubrimiento externo y primera contención

El 1 de octubre, el actor anunció los datos robados en Reddit. 23ANDME confirmó el 5 de octubre que el incidente era genuino y anunció el 6 de octubre que se había accedido a información de perfiles sin autorización. Su primer relato público atribuyó el acceso a la reutilización de credenciales y dijo que se podría haber obtenido información de los perfiles de DNA Relatives. (Actualización del incidente y plan de acción de 23ANDME)

La contención no se produjo de un solo golpe. El 9 de octubre, cuatro días después de la confirmación, 23ANDME invalidó las sesiones activas. El 10 de octubre envió un correo electrónico a todos los clientes, exigió un restablecimiento de contraseñas global y recomendó MFA. La empresa presentó su informe inicial ante la ICO el 15 de octubre y ante el regulador canadiense el 18 de octubre después de que la oficina canadiense lo solicitara. Los informes iniciales de los reguladores utilizaron una población mundial afectada de 1 103 647; los suplementos de finales de octubre la elevaron a 5 621 179.

La secuencia pone de manifiesto la importancia del control de sesiones. Cambiar una contraseña no pone fin necesariamente a una sesión ya autenticada. Un plan de respuesta debe invalidar por separado los tokens, rotar o revocar otras credenciales, detener las exportaciones de alto riesgo, preservar las pruebas e identificar las vistas posteriores. Los reguladores consideraron que cuatro días era demasiado para desactivar todas las sesiones y ordenar el restablecimiento después de que se hubiera confirmado un incidente de máxima prioridad con datos de clientes.

De noviembre de 2023 a enero de 2024: inicio de sesión más fuerte, notificación más lenta

El 2 de noviembre, 23ANDME deshabilitó las descargas autoservicio de ADN bruto. La función volvió el 27 de febrero de 2024 con una verificación adicional de fecha de nacimiento. Los reguladores cuestionaron la fecha de nacimiento como un autenticador fuerte porque puede estar disponible públicamente o presente en otras brechas, aunque evaluaron las salvaguardas posteriores de la empresa en su conjunto en lugar de considerar este paso como suficiente.

El 9 de noviembre, el servicio hizo obligatoria la verificación en dos pasos basada en correo electrónico para los clientes que no utilizaban MFA de aplicación o SSO. La declaración modificada ante la SEC sitúa el requisito a principios de noviembre y confirma que los usuarios nuevos y existentes necesitarían verificación en dos pasos en adelante. La MFA basada en aplicación ya existía y podría haberse hecho obligatoria antes; 23ANDME en su lugar desarrolló un método de correo electrónico de menor fricción. Los reguladores concluyeron que esto dejó las cuentas expuestas más tiempo del necesario, al tiempo que aceptaban a finales de 2024 que el conjunto de controles corregidos combinados era apropiado.

La notificación continuó por capas. Las personas cuya información de DNA Relatives se había publicado o se determinó que se había accedido a ella recibieron avisos en octubre. Algunas aclaraciones solo para Family Tree siguieron en diciembre. Las personas cuyas cuentas habían sido directamente objeto de credential stuffing no fueron notificadas de ese hecho hasta enero de 2024, casi tres meses después de la confirmación y más de un mes después de que la empresa dijera que su investigación forense estaba completa. El informe conjunto encontró omisiones en los avisos de los reguladores y en los individuales, incluida la posible exposición de ADN bruto, el período del ataque, la publicación de información para la venta y algunos campos de la cuenta.

Recuento de cuentas, perfiles y personas

El incidente no tiene una sola cifra honesta a menos que la unidad y la fecha la acompañen.

Aproximadamente el 0,1 % o unas 14 000 cuentas:Esta fue la descripción de la empresa a principios de diciembre de 2023 de las cuentas directamente sometidas a credential stuffing. El porcentaje apareció en el 8-K modificado. Los informes contemporáneos lo tradujeron en unas 14 000 basándose en la población del servicio.

18 222 cuentas accedidas directamente:Este fue el total mundial que 23ANDME proporcionó posteriormente a la investigación Canadá-Reino Unido en julio de 2024: 769 en Canadá y 611 en el Reino Unido. Es la cifra de cuenta directa más elaborada en el registro público de los reguladores.

5 497 376 perfiles de DNA Relatives y 1 468 791 perfiles de Family Tree:Estos son recuentos posteriores de grupos de campos mundiales notificados a los reguladores. El informe dice que los grupos de DNA Relatives y Family Tree eran mutuamente excluyentes, mientras que las poblaciones de DNA Relatives e informes de ascendencia no lo eran. El formulario 10-K del año fiscal 2024 de la empresa redondeó las categorías a aproximadamente 5,5 millones de perfiles de DNA Relatives y 1,5 millones de perfiles de Family Tree. (23ANDME formulario 10-K del año fiscal 2024)

6 984 430 clientes afectados en todo el mundo:23ANDME comunicó este total al regulador canadiense el 4 de diciembre de 2023, con 319 635 en Canadá. El informe conjunto describe en general casi siete millones de clientes afectados. El acuerdo de demanda colectiva de EE. UU. utilizó posteriormente aproximadamente 6,4 millones de residentes en EE. UU. para su ámbito de clase.

Estas cifras describen poblaciones anidadas e intersectadas, no cuatro números que sumar. Un titular de cuenta accedida directamente también podría tener un perfil de DNA Relatives. Una persona podría tener tanto información de ascendencia como un perfil de parentesco. Un perfil de Family Tree podría referirse al titular de la cuenta u otra persona representada en el árbol. La precisión requiere un esquema: persona, cuenta, perfil genético, registro de parentesco, nodo del árbol genealógico, informe y archivo descargado son objetos diferentes.

El recuento de ADN bruto está aún más acotado. En julio de 2024, 23ANDME informó de 18 descargas de ADN bruto en todo el mundo y 49 casos en los que se accedió o se navegó por ADN bruto. Los reguladores identificaron deficiencias en el método forense, incluida la falta de registros originales del proveedor de nube y un registro personalizado mal configurado. En abril de 2025, tras un análisis más detallado, 23ANDME revisó el número de descargas de ADN bruto atribuidas al actor a cuatro en todo el mundo, ninguna en Canadá o el Reino Unido. Los reguladores no verificaron de forma independiente esa revisión.

La conclusión correcta no es que se descargara ADN bruto de siete millones de personas. El expediente no respalda eso. Tampoco es que no hubiera ADN bruto implicado. La posición posterior de la empresa fue de cuatro descargas atribuidas, mientras que los reguladores documentaron incertidumbre metodológica. Aquí es exactamente donde un artículo forense debe detenerse en el límite de las pruebas.

Lo que una sesión exitosa podía revelar

Los datos también deben dividirse por vía de acceso.

Para una cuenta accedida directamente, los campos disponibles podían incluir nombre completo, fecha de nacimiento, sexo al nacer, género, correo electrónico, país y código postal, altura y peso; informes de ascendencia; informes de salud; condiciones de salud autoinformadas; e información de genotipo bruto. No se deduce que cada una de las 18 222 cuentas contuviera todos los campos o que todos los campos disponibles se descargaran. El informe conjunto ofrece un recuento notificado más específico de 8 217 cuentas rellenadas con informes de salud implicados y 63 con condiciones de salud autoinformadas.

Para un perfil de DNA Relatives conectado, el material expuesto era más limitado pero aún sensible: nombres o nombres para mostrar, año de nacimiento y ubicación autoinformados, imagen de perfil, raza u origen étnico, parentesco previsto, porcentaje de ADN compartido, segmentos coincidentes e información opcional de ascendencia y árbol genealógico. Este fue el multiplicador. El actor visualizó esos registros a través de la autoridad de cuentas accedidas directamente.

Para los perfiles de Family Tree, el registro se refiere a la información representada en los árboles genealógicos vinculados. Un nodo del árbol genealógico no debe equipararse a la ligera con un cliente único del servicio o un registro genético bruto. El producto puede describir parientes y linajes sin que cada persona representada sea un titular de cuenta analizado.

Para los listados del atacante, el hecho de una oferta o publicación no valida todas las etiquetas aplicadas por el vendedor. Los reguladores descubrieron que se anunciaron algunos datos y que los avisos afectados deberían haber revelado ese hecho. La demanda de California de 2026 formula alegaciones adicionales sobre listas dirigidas, una negociación de rescate, vulnerabilidades del producto y declaraciones de la empresa. Esas acusaciones son graves, pero a fecha de publicación la demanda es un escrito inicial, no una sentencia. Debe citarse como el caso del estado, no convertirse en un hecho probado. (Demanda y anuncio de la Fiscalía General de California)

Esta separación protege a las personas afectadas de dos errores a la vez: minimizar la divulgación no autorizada de ascendencia y parentesco porque no siempre fue un archivo bruto, y exagerar el suceso convirtiéndolo en la afirmación de que se robaron genomas completos de siete millones de personas. Ambas cosas distorsionan la responsabilidad.

El diseño del producto hizo posible la proporción

El propósito del producto era la conexión. DNA Relatives creaba valor mostrando a los clientes un amplio conjunto de coincidencias y suficiente contexto para reconocer las relaciones familiares. Los controles de seguridad no podían simplemente eliminar toda visibilidad compartida sin desactivar la función. Sin embargo, podían regular cuánta autoridad acumulaba una sesión y con qué rapidez podía ejercerla.

Siguen al menos cinco preguntas de diseño.

Primero, ¿debería ser igualmente visible un grafo de relaciones inmediatamente después de cada inicio de sesión? Un dispositivo nuevo, una ubicación inusual o una cuenta recuperada recientemente podrían recibir una vista reducida hasta una autenticación reforzada. El objetivo no es ocultar los resultados propios de una persona. Es distinguir el acceso propio del acceso masivo a los perfiles de otras personas.

Segundo, ¿cuál es el alcance máximo útil de una sesión? Un producto puede calcular miles de coincidencias, pero no necesita entregarlas a velocidad de máquina ni exponer los mismos campos a través de cada punto final. La paginación, los presupuestos por sesión, la divulgación progresiva y las exportaciones limitadas por propósito pueden aumentar el coste de extracción manteniendo utilizable el descubrimiento normal.

Tercero, ¿qué consultas revelan datos de parentesco? La telemetría de seguridad debe entender el producto. Contar solicitudes HTTP es más débil que medir perfiles únicos vistos, expansión del árbol genealógico, recuperación de informes de ascendencia, consultas de segmentos compartidos y recorridos repetidos a través de muchas cuentas. Un ataque puede permanecer por debajo de un umbral genérico de solicitudes mientras viola todos los patrones normales de uso de parentesco.

Cuarto, ¿qué consentimiento se aplica después de que la cuenta del espectador se ve comprometida? Una persona optó por compartir con parientes genéticos a través del servicio, no con cualquiera que pueda presentar la contraseña de un pariente. El consentimiento no puede autenticar al espectador. La plataforma debe hacer cumplir las condiciones bajo las cuales la elección de compartir sigue siendo significativa.

Quinto, ¿puede una persona conectada ver o revocar la vía de exposición? El historial de eventos de la cuenta ayuda al cliente accedido directamente, pero un pariente cuyo perfil fue visto a través de la sesión de otra persona no tiene un registro de sesión propio natural. Por lo tanto, el servicio necesita un análisis de incidentes y una notificación conscientes del grafo. Debe poder responder no solo qué cuentas fueron penetradas, sino a qué otros perfiles llegó cada sesión hostil.

Aquí es donde la minimización de datos se convierte en un control operativo. Eliminar una ubicación, año de nacimiento o apellido opcionales de las vistas de parentesco predeterminadas puede reducir las consecuencias sin abolir las coincidencias. Separar el descubrimiento de perfiles de los informes detallados de ascendencia puede crear un límite de refuerzo. Limitar los perfiles antiguos o inactivos puede reducir el alcance retenido. Estas son decisiones de producto, no sermones sobre contraseñas.

Valores predeterminados de MFA y el deber compartido de las contraseñas

Los clientes no deben reutilizar contraseñas. La reutilización permite que una brecha en un servicio se convierta en una llave para otro, y el atacante sigue siendo responsable de usarla. Pero la culpa del cliente no agota la responsabilidad de la plataforma. Los servicios saben que la reutilización de credenciales es lo suficientemente común como para ser un modelo de amenaza estándar. La Comisión Federal de Comercio de EE. UU. advirtió en 2017 que las empresas que protegen cuentas sensibles deben combinar técnicas de autenticación porque los atacantes automatizan las credenciales robadas a escala. (Guía de la FTC sobre contraseñas seguras y autenticación)

La responsabilidad de 23ANDME se veía incrementada por el alcance de la sesión. El cliente accedido directamente puso en riesgo su propia cuenta mediante la reutilización; no configuró el producto para exponer hasta miles de coincidencias. Los parientes conectados no eligieron en absoluto la contraseña comprometida. La empresa era el único actor capaz de hacer obligatoria una autenticación más fuerte en todo el servicio.

Los reguladores identificaron tres carencias preventivas: MFA obligatoria, comprobaciones de contraseñas comprometidas y fuerza mínima de contraseñas. El expediente sobre la detección de contraseñas era internamente inconsistente. Una respuesta decía que la empresa no comprobaba con conjuntos de datos comprometidos; una entrevista decía que comprobaba con 20 000 contraseñas frecuentemente repetidas de un conjunto de datos de 2021. Ambas versiones eran mucho más limitadas que una detección continua contra un corpus amplio.

Las guías técnicas actuales respaldan los controles por capas. NIST SP 800-63B pide verificar las contraseñas propuestas con valores comunes, esperados o comprometidos y una limitación de velocidad efectiva; también afirma claramente que las contraseñas no son resistentes al phishing. (NIST SP 800-63B) La guía de prevención de credential stuffing de OWASP añade MFA contextual, señales de dispositivo y conexión, identificación de contraseñas filtradas, visibilidad de eventos de usuario y métricas en todas las defensas. (Hoja de referencia de prevención de credential stuffing de OWASP) Estos son puntos de referencia, no pruebas de que un control habría detenido todas las técnicas.

La verificación en dos pasos por correo electrónico obligatoria fue una mejora significativa con respecto al inicio de sesión solo con contraseña, pero no es el factor más fuerte posible. Si una cuenta de correo electrónico comparte la misma contraseña comprometida, un atacante puede acceder a ambas. Los autenticadores de aplicación y los métodos resistentes al phishing pueden proporcionar una separación más fuerte. Un diseño maduro puede combinar una base obligatoria ampliamente accesible con opciones más fuertes, refuerzo basado en riesgo y recuperación reforzada. Debe medir la adopción y las vías de omisión, no solo anunciar que existe una función.

La extracción es un evento de seguridad cuando la autenticación tiene éxito

El credential stuffing solo tuvo éxito ocasionalmente en relación con el total de intentos, pero la extracción posterior hizo que esos éxitos fueran valiosos. Esto convierte la detección de un problema de inicio de sesión en un problema de comportamiento de sesión.

Los reguladores no encontraron alertas durante cinco meses a pesar de los miles de cuentas accedidas. Pudieron identificar los períodos de ataque de mayo y septiembre a partir de la proporción de inicios de sesión exitosos y fallidos. También descubrieron que 23ANDME poseía los datos de dispositivo, navegador y red necesarios para la toma de huellas digitales pero no los utilizó con ese fin, alegando sus otros controles y preocupaciones de privacidad.

Esa compensación merece cuidado. La toma de huellas digitales de dispositivos puede convertirse en un rastreo intrusivo si se recopila sin límites o se reutiliza para publicidad. La respuesta no es la vigilancia ilimitada en nombre de la seguridad. Es la limitación de la finalidad: recopilar las señales mínimas necesarias, definir la retención, aislar la telemetría de fraude del marketing, proporcionar transparencia, restringir el acceso y probar la eficacia. El coste de privacidad de un control pertenece a la revisión del diseño; también el coste de privacidad de dejar millones de perfiles conectados susceptibles de extracción.

El servicio también necesita controles agregados. Una sola dirección IP no es la única unidad útil. Los defensores pueden evaluar intentos por fuente de credencial, familia de dispositivos, bloque de red, huella de automatización, clúster de sesiones y patrón de visualización de perfiles. Pueden establecer presupuestos para familiares únicos vistos, detectar recorridos uniformes, comparar el tiempo de navegación con el comportamiento humano y desafiar las exportaciones de riesgo. El objetivo no es afirmar una detección perfecta de bots. Es hacer que la extracción sea más lenta, ruidosa y costosa, al tiempo que se producen pruebas sobre las que un analista pueda actuar.

La economía del contacto abusivo también se aplica a los canales de respuesta. Un equipo de seguridad necesita una vía de baja fricción para que clientes e investigadores informen de comportamientos sospechosos, pero cada canal barato atrae ruido. El triaje debe preservar los artefactos, vincular los informes a la telemetría y escalar basándose en señales combinadas. El mensaje de agosto de 2023 muestra por qué descartar una afirmación no puede ser el final del registro: incluso una afirmación de volumen falsa puede apuntar a una clase real de actividad cuando la plataforma ya se ha colapsado bajo la automatización y ha visto cientos de intentos de transferencia sospechosos.

La notificación debía seguir a las personas, no a las cuentas

La empresa notificó a diferentes grupos entre octubre de 2023 y enero de 2024 a medida que avanzaba su análisis. Eso es comprensible en principio: el alcance del incidente cambia y una certeza prematura puede inducir a error. Las conclusiones de los reguladores fueron más específicas. Los avisos de octubre a los titulares de perfiles conectados no decían que parte de la información se había puesto a la venta. Los avisos a los titulares de cuentas accedidas directamente llegaron más tarde y no describían de forma coherente todos los campos de configuración de la cuenta ni el período de ataque de abril a septiembre. Los informes iniciales de los reguladores omitían la posibilidad de que los informes de ADN bruto, salud y ascendencia en las cuentas rellenadas se hubieran visto afectados.

El diseño de la notificación heredó el modelo de datos del producto. Si el sistema de respuesta comienza con una lista de ID de cuentas comprometidas, contactará de forma natural primero con los titulares de las cuentas. Pero el grupo más grande de afectados estaba formado por personas cuyos perfiles fueron alcanzados a través de la cuenta de otra persona. Un proceso de brecha consciente del grafo necesita un libro de exposición: sesión hostil, cuenta de origen, punto final visto, perfil conectado, campos disponibles, campos recuperados, hora, jurisdicción y estado de la notificación.

Ese libro también evita la sobre-notificación. Una persona cuyo nombre para mostrar y porcentaje de ADN compartido fueron vistos debe recibir un aviso que diga eso, no una advertencia genérica que implique que se descargó un archivo de genotipo bruto. Un titular de cuenta accedida directamente con acceso al informe de salud necesita un mensaje diferente. Un sujeto de árbol genealógico que no es titular de una cuenta puede requerir de nuevo una vía legal y práctica diferente.

El informe conjunto concluyó que la brecha superaba los umbrales de notificación tanto en virtud de la PIPEDA de Canadá como del RGPD del Reino Unido. También detectó retrasos y deficiencias de contenido en virtud de esos regímenes. El comisionado canadiense consideró que las salvaguardas mejoradas resolvían la cuestión del control de seguridad, mientras que el regulador del Reino Unido impuso una multa de 2,31 millones de GBP por fallos que afectaban a 155 592 usuarios del Reino Unido e infracciones que se extendían hasta finales de 2024. (Registro de aplicación de la ICO del Reino Unido sobre 23ANDME) La multa no es un precio global por la brecha; refleja las competencias, la población y el análisis jurídico de una autoridad.

La localización de los datos es más que dónde se encuentra el servidor

Este incidente muestra tres localidades diferentes.

La localidad de almacenamientopregunta dónde se guardan física o contractualmente la información personal, las muestras, los registros y las copias de seguridad. Importa para los mecanismos de transferencia, el acceso gubernamental, el riesgo del proveedor y las expectativas de los clientes. Pero ninguna prueba revisada muestra que trasladar el mismo producto sin cambios a un servidor en otro país hubiera impedido que credenciales reutilizadas válidas abrieran los mismos perfiles.

La localidad de accesopregunta dónde se aplica la autoridad. En este caso el límite decisivo era lógico: una sesión de cliente exitosa podía llegar a perfiles conectados. Una autenticación más fuerte, el riesgo de sesión, los límites de consulta y la autorización a nivel de perfil habrían cambiado esa localidad incluso si cada byte permaneciera en la misma instalación.

La localidad legalpregunta qué ley y regulador se aplican a la persona, al responsable del tratamiento, al tratamiento y a la transferencia. Las autoridades canadienses y del Reino Unido pudieron investigar conjuntamente a una empresa estadounidense porque los residentes canadienses y del Reino Unido se vieron afectados y se aplicaban sus respectivas leyes. Su informe ofrece recuentos separados por país, deberes de notificación separados y conclusiones separadas. La coordinación redujo la duplicación de la investigación de hechos, pero no fusionó la PIPEDA y el RGPD del Reino Unido en una sola ley.

La declaración de privacidad actual de la empresa distingue entre información genética, información de muestras, información autoinformada, datos de cuenta y opciones de uso compartido, y proporciona derechos y contactos específicos por región. También dice que la eliminación de la cuenta activa la exclusión voluntaria de la investigación y el descarte de muestras, sujeto a los límites establecidos. La política actual es útil para evaluar los compromisos presentes, pero no es prueba de lo que cada cliente entendía en 2023 ni de que los controles históricos funcionaran como se prometió. (Declaración de privacidad actual de 23ANDME)

La quiebra hizo tangible la localidad legal. 23ANDME Holding Co. y sus filiales presentaron solicitudes de Capítulo 11 en marzo de 2025. El presidente de la FTC advirtió al síndico de EE. UU. de que una venta o transferencia de información genética, de muestras, de salud y de parentesco sensible debía respetar las promesas sobre privacidad, elección y eliminación. (Carta de la FTC sobre la quiebra de 23ANDME) Los reguladores canadienses y del Reino Unido escribieron por separado a los funcionarios estadounidenses sobre las obligaciones hacia las personas en sus jurisdicciones. (Carta conjunta de privacidad sobre la quiebra de Canadá-Reino Unido)

En julio de 2025, se cerró la venta aprobada por el tribunal de quiebras de sustancialmente todos los activos operativos a TTAM Research Institute, posteriormente denominado 23ANDME Research Institute, por 305 millones de dólares. El comprador se comprometió a respetar las opciones de privacidad existentes, la eliminación y las exclusiones voluntarias de investigación; restringir ciertas transferencias futuras a entidades nacionales cualificadas que adopten las políticas; crear un consejo asesor de privacidad; e informar sobre los procedimientos de privacidad. La presentación ante la SEC confirma el cierre, mientras que los materiales de compra de activos describen las salvaguardas. (23ANDME formulario 8-K de cierre de venta)

Esos términos demuestran que la gobernanza de datos puede sobrevivir como una obligación a través del cambio de propiedad en lugar de viajar como un activo sin restricciones. No hacen de la geografía una salvaguarda completa, y no borran las disputas sobre si el consentimiento individual era legalmente necesario para la transferencia. Los fiscales generales estatales impugnaron la venta propuesta; se recordó a los clientes las opciones de eliminación y destrucción de muestras; la transacción se cerró no obstante bajo la autoridad judicial y las condiciones negociadas. La lección no es que la quiebra anule automáticamente las promesas de privacidad, o que una política de privacidad pueda resolver todas las cuestiones de acreedores y leyes estatales. Es que los términos de custodia, la capacidad de eliminación y los derechos específicos de cada jurisdicción deben diseñarse antes de la crisis, cuando las pruebas y el personal son más sólidos.

Los costes miden cosas diferentes

23ANDME informó de 4,6 millones de dólares en gastos por incidentes en el año fiscal 2024, compensados por 2,8 millones de dólares de probable recuperación del seguro, principalmente para consultoría tecnológica, trabajo legal y otros asesores. Esos son costes de respuesta de la empresa, no una valoración del daño a los clientes.

El litigio privado produjo otro conjunto de cifras. Un acuerdo propuesto de demanda colectiva en EE. UU. comenzó con un fondo no reversible de 30 millones de dólares y pasó al procedimiento de quiebra. La estructura final proporcionaba un fondo de al menos 30 millones de dólares y hasta 50 millones, categorías de efectivo para reclamaciones elegibles y cinco años de supervisión de privacidad, médica y genética. El tribunal de quiebras concedió la aprobación definitiva el 30 de enero de 2026. El sitio oficial del acuerdo dice que la demanda colectiva afecta a aproximadamente 6,4 millones de residentes en EE. UU., el plazo para reclamaciones en efectivo ha vencido y la distribución está a la espera de la conciliación de la quiebra. (Sitio oficial del acuerdo de datos de 23ANDME)

El acuerdo resuelve las reclamaciones privadas y libera las reclamaciones cubiertas según sus términos. No es una conclusión judicial de que todas las alegaciones presentadas fueran ciertas, y los beneficios del acuerdo no son prueba de que un demandante sufriera un uso indebido genético concreto. La etiqueta de supervisión no debe confundirse con una capacidad técnica para revertir una exposición. Es un beneficio de servicio definido y un mecanismo de apoyo al riesgo.

El formulario 10-K del año fiscal 2025 describió 37,5 millones de dólares en compromisos agregados entre los acuerdos de demanda colectiva, arbitraje y tribunales estatales tal como estaban estructurados entonces, junto con la exposición a litigios y regulación. Esa presentación es anterior a los ajustes y la aprobación finales de la quiebra, por lo que no debe sustituir a la descripción posterior del fondo administrado por el tribunal. Sigue siendo una prueba útil de cómo se acumularon múltiples canales de disputa en torno a un incidente. (23ANDME formulario 10-K del año fiscal 2025)

La multa del Reino Unido mide una infracción de derecho público para una jurisdicción y un período definidos. La demanda de California de 2026 es otra acción de ejecución pública, que alega fallos en virtud de la Ley de Privacidad de la Información Genética, la Ley de Privacidad del Consumidor de California, la ley de seguridad razonable y los estatutos de protección al consumidor. También alega hechos que van más allá del informe conjunto de 2025. Siguen siendo alegaciones a menos que se admitan o prueben. Los acuerdos privados, las sanciones regulatorias, la recuperación del seguro y los ingresos de la venta por quiebra pertenecen a columnas separadas; sumarlos en un único ‘coste de la brecha’ produciría un total financieramente ordenado pero jurídicamente sin sentido.

La corrección se volvió lo suficientemente específica como para probarla

Para el 31 de diciembre de 2024, 23ANDME dijo a los investigadores de Canadá y el Reino Unido que había implementado un conjunto de controles más amplio. Los reguladores aceptaron las medidas en su conjunto como suficientes para resolver las preocupaciones de salvaguarda que habían identificado, y el regulador del Reino Unido consideró que la empresa cumplía los requisitos de seguridad pertinentes a partir de ese momento. Se trata de una conclusión favorable significativa, con un límite: no certifica la eficacia perpetua tras el cambio de propiedad y organización.

Los cambios notificados incluían una contraseña mínima de 12 caracteres, comprobaciones con un corpus de contraseñas comprometidas mucho más amplio en el registro, inicio de sesión y restablecimiento, verificación en dos pasos por correo electrónico obligatoria, protecciones en torno a las descargas de datos brutos y de salud, un retraso de 48 horas antes de la entrega de ADN bruto, ejercicios simulados de credential stuffing, supervisión revisada, más de 253 nuevas alertas SIEM, supervisión de sesiones basada en el comportamiento, supervisión de la dark web, una función de navegador de confianza e historial de eventos de cuenta descargable. También se reforzó la gobernanza de producto, seguridad e ingeniería.

Un inventario de controles no es lo mismo que un resultado de control. El siguiente paso útil es pedir pruebas sin exigir detalles explotables.

El retraso de 48 horas ilustra una buena fricción cuando se combina con un aviso seguro y la cancelación: priva a una sesión hostil de la extracción instantánea y da tiempo al usuario legítimo para reaccionar. Pero el retraso sin un canal de contacto fiable solo pospone la pérdida. Una comprobación de la fecha de nacimiento puede añadir ceremonia mientras se basa en información ya visible en otros lugares. Los controles deben evaluarse como una cadena.

Lo mismo se aplica a la 2SV por correo electrónico obligatoria. Probablemente bloquee la versión simple de esta campaña cuando solo se dispone de una contraseña de 23ANDME. Es más débil cuando la cuenta de correo electrónico también está comprometida. Deben fomentarse factores más fuertes para todos los usuarios y exigirse para acciones especialmente trascendentales. La plataforma debe mantener vías de recuperación para las personas que pierden factores sin permitir que una interacción de soporte se convierta en la omisión más fácil.

Quién controlaba qué

El actor de amenazascontroló la decisión de probar credenciales robadas, entrar en cuentas, automatizar funciones del producto, extraer perfiles y publicar u ofrecer información. La intención delictiva no se transfiere a la empresa simplemente porque los controles fueran débiles.

Los clientes con credenciales reutilizadascontrolaron su elección de contraseña en los distintos servicios y deberían haber utilizado una contraseña única y la MFA disponible. Su responsabilidad es real pero limitada. No controlaban la supervisión, la autorización de funciones, la invalidación de sesiones ni el número de familiares visibles a través de su cuenta.

Los familiares conectados y los titulares de perfilescontrolaban algunas opciones de compartición y campos opcionales. No controlaban la seguridad de todas las cuentas coincidentes ni la decisión de la plataforma de conceder una amplia visibilidad tras un inicio de sesión solo con contraseña. Optar por una función no es consentir la automatización hostil.

23ANDMEcontrolaba la base de autenticación de clientes, la detección de contraseñas, el diseño de sesiones y exportaciones, la visibilidad de coincidencias, la telemetría, el triaje de incidentes, los tiempos de respuesta, el mapeo de datos y los avisos. También seleccionó el modelo de sensibilidad y podía comparar la protección de las cuentas de empleados con la protección de las cuentas de clientes. Por eso la responsabilidad práctica recae principalmente en el servicio aunque no originara las credenciales reutilizadas.

Los reguladores y los tribunalescontrolaban los recursos dentro de leyes y procedimientos particulares. Los comisionados de Canadá y el Reino Unido podían formular conclusiones sobre salvaguardas y avisos para sus residentes. La autoridad del Reino Unido podía imponer su multa. El tribunal de quiebras podía aprobar las condiciones de venta y acuerdo. California puede presentar un caso estatal. Ninguno tiene jurisdicción universal sobre todos los clientes o todas las cuestiones.

El instituto sucesorcontrola el servicio operativo y heredó los compromisos de custodia tras la venta de activos. La antigua sociedad holding pública, rebautizada como Chrome Holding Co., sigue siendo relevante para las distribuciones de la quiebra y los litigios. Una denominación clara es importante porque los clientes deben saber qué entidad opera el producto, cuál posee los datos, cuál debe las obligaciones del acuerdo y cuál recibe una solicitud de eliminación.

Lo que sigue sin saberse

El expediente público no incluye el informe forense completo, todos los registros de incidentes, la infraestructura hostil completa, la fuente exacta de credenciales, todo el código de puntos finales ni el historial completo de consultas. Los reguladores señalaron expresamente la falta de material solicitado y las deficiencias en el registro de descargas brutas. Un relato seguro debe conservar esas lagunas.

No está establecido que la tienda de credenciales propia de 23ANDME fuera violada. La empresa dijo sistemáticamente que no encontró indicios de que proporcionara los pares de nombre de usuario y contraseña, y los reguladores describieron una campaña de credential stuffing utilizando credenciales robadas en otros incidentes.

No está establecido que se descargaran casi siete millones de archivos de genotipo bruto o informes de salud. La población más numerosa se refiere a la información de DNA Relatives, ascendencia y Family Tree. Los campos de cuenta directa y los eventos de datos brutos son categorías más pequeñas y contabilizadas por separado.

No está establecido que cada anuncio del atacante fuera exacto, que un motivo ideológico concreto impulsara la selección o comercialización de registros, o que cada registro afirmado fuera único. El hecho de que la información se comercializara utilizando categorías sensibles de ascendencia es importante para la notificación y la evaluación de riesgos; el motivo y el uso posterior aún requieren pruebas.

No está establecido en el material revisado que una persona concreta sufriera discriminación laboral, denegación de seguro, lesiones médicas, persecución policial o robo de identidad a causa de este suceso. Esas son preocupaciones concebibles en torno a los datos genéticos y de identidad, pero la posibilidad no es un hallazgo.

Tampoco está establecido que la corrección siga siendo eficaz indefinidamente. Los reguladores aceptaron las medidas combinadas hasta finales de 2024. La quiebra, los cambios de personal y la transferencia a un nuevo instituto hacen que la garantía continua sea especialmente importante. Un control que superó una revisión puede decaer por un cambio de configuración, la presión presupuestaria o una nueva vía de producto.

La responsabilidad empieza en el borde de la cuenta de otra persona

El incidente comenzó con credenciales que funcionaron. Se convirtió en una exposición masiva porque el servicio otorgó más autoridad a esas credenciales que al propio registro de la persona accedida directamente. Ese es el prisma de responsabilidad que merece la pena llevar más allá de 23ANDME.

Cualquier plataforma construida en torno a hogares, equipos, pacientes, estudiantes, árboles genealógicos o grafos sociales puede exponer a una persona a través de la sesión de otra. Por lo tanto, el denominador correcto no son las cuentas comprometidas. Son las personas y los registros alcanzables desde la autoridad comprometida. El control correcto no es simplemente un inicio de sesión más fuerte. Es un inicio de sesión más fuerte combinado con un alcance de sesión limitado, detección de extracción consciente del producto, pruebas de exportación fiables, contención rápida y notificación a nivel de persona.

La soberanía de los datos sigue la misma lógica. Un servidor nacional no crea control local si una sesión remota puede recorrer un grafo de relaciones global. Una política de privacidad no preserva la elección si las obligaciones de eliminación, consentimiento y transferencia desaparecen durante una venta. La jurisdicción legal no se corresponde exactamente con la arquitectura del sistema, por lo que el servicio debe llevar la residencia, los derechos y el estado de notificación junto con los datos.

La conclusión más defendible es más limitada que el titular de brecha más ruidoso y más exigente que la primera explicación de la empresa. La reutilización de contraseñas abrió la puerta. El diseño del producto la amplió. La supervisión no reconoció el paso repetido. La respuesta y la notificación cerraron diferentes partes en diferentes fechas. Los controles posteriores, las conclusiones de los reguladores y los términos judiciales crearon un registro de responsabilidad mensurable. La obligación restante es demostrar, de forma continua, que la cuenta de una persona ya no puede convertirse en una ruta de extracción barata hacia la vida de miles de otras.