23andMe y la brecha de relleno de credenciales que convirtió a los familiares en superficie de exposición

Resumen

• Acceso confirmado estratificado:23andMe reveló inicialmente que aproximadamente el 0.1% de las cuentas de usuario, descrito comúnmente en ese momento como unas 14,000, fueron accedidas con credenciales reutilizadas de otros servicios. La investigación conjunta posterior de Canadá y el Reino Unido reportó 18,222 cuentas accedidas directamente en todo el mundo. A través de esas sesiones, el atacante extrajo información de DNA Relatives y Family Tree perteneciente a casi siete millones de clientes.
• Los familiares ampliaron el radio de explosión:Un cliente que optó por DNA Relatives hizo visibles para sus coincidencias cierta información de perfil, ascendencia y relaciones. Por lo tanto, el atacante no necesitó que cada persona afectada reutilizara una contraseña. El producto convirtió un pequeño conjunto de inicios de sesión válidos en autoridad para ver un gráfico de relaciones mucho más amplio.
• La detección y respuesta fallaron en varios puntos:Los reguladores identificaron períodos intensos de relleno de credenciales, un colapso de la plataforma en julio causado por más de un millón de inicios de sesión en una sola cuenta, cientos de intentos de transferencia de perfiles y una afirmación en agosto de un gran robo. La campaña general no se confirmó hasta que los datos robados se anunciaron en octubre de 2023. Siguieron la verificación en dos pasos obligatoria, el restablecimiento global de contraseñas y controles más estrictos para la descarga de ADN sin procesar.
• La responsabilidad está dividida, pero no equitativamente:El atacante es responsable del acceso no autorizado, la extracción y la publicación. Los clientes que reutilizaron contraseñas crearon una ruta inicial. Solo 23andMe controlaba los valores predeterminados de autenticación, la verificación de contraseñas comprometidas, la autoridad de la sesión, los límites de consulta de relaciones, la telemetría, la respuesta y la notificación. Hallazgos regulatorios posteriores, una multa del Reino Unido, un acuerdo de demanda colectiva, protecciones de venta por quiebra y un caso de aplicación de California aún impugnado miden diferentes cuestiones legales; ninguno respalda afirmaciones de un mal uso genético particular sin evidencia.

Una contraseña, muchas personas

Un conteo convencional de apropiación de cuentas pregunta cuántas cuentas ingresó un atacante. Eso es necesario aquí, pero radicalmente incompleto. DNA Relatives se construyó para mostrar a un cliente participante un conjunto de coincidencias genéticas. Dependiendo del nivel de suscripción, dijo la investigación conjunta, una cuenta habilitada podía ver 1,500 o 5,000 perfiles de DNA Relatives. Una coincidencia podía exponer un nombre para mostrar, relación predicha, porcentaje de ADN compartido y campos opcionales de ascendencia, ubicación, año de nacimiento, fotografía, apellido y árbol genealógico. La descripción actual de 23andMe aún deja claro el modelo de intercambio subyacente: los participantes eligen aparecer ante las coincidencias genéticas, y los detalles seleccionados se vuelven visibles dentro de ese contexto de relación. (Configuración de privacidad y visualización de DNA Relatives de 23andMe)

Eso no era lo mismo que publicar un perfil en la web abierta. La visibilidad estaba condicionada a una cuenta de 23andMe autenticada, la participación en la función y una relación de coincidencia genética calculada por el servicio. Pero el intercambio condicional aún puede crear una amplia superficie de autorización. Una vez que un atacante suplantaba con éxito a un cliente participante, el servicio trataba la sesión como con derecho a ver información proporcionada por otras personas. Esas otras personas podrían haber utilizado contraseñas únicas y una autenticación más sólida.

Sin embargo, su seguridad dependía en parte de la cuenta conectada más débil y de los controles que limitaban lo que esa cuenta podía recuperar.

Este es el problema del perfil compartido. El titular de la cuenta comprometida y el sujeto de los datos expuestos suelen ser personas diferentes. Una controla la credencial; otra suministró el perfil visible; la plataforma define la relación y concede el acceso. Un análisis que atribuye el evento por completo a la reutilización de contraseñas colapsa esos roles. También pasa por alto la decisión del producto que multiplicó el valor de cada inicio de sesión exitoso.

La distinción es especialmente importante en un servicio genético porque la información de parentesco es inherentemente relacional. Un porcentaje de ADN compartido describe una conexión entre al menos dos personas. Un árbol genealógico puede incluir personas que nunca abrieron una cuenta. Una relación predicha se genera a partir de datos comparativos, no es propiedad en sentido operativo de una sola parte. El consentimiento de un cliente para participar en una función de emparejamiento no otorga a ese cliente control técnico sobre cómo se detecta o restringe la sesión comprometida de otro cliente.

Nada de esto prueba un daño genético específico. El registro revisado no establece que un empleador, aseguradora, organismo gubernamental o responsable de decisiones médicas haya utilizado la información expuesta contra una persona afectada. Sí establece el acceso no autorizado a cuentas, la recopilación automatizada, la publicación o el ofrecimiento en línea de cierta información y la exposición de campos definidos de perfiles y cuentas. La responsabilidad debe basarse en esos eventos demostrados y en los riesgos que los reguladores estaban legalmente obligados a evaluar, no en historias posteriores inventadas.

La evidencia tiene cuatro casillas diferentes

El registro público se volvió más detallado a lo largo de dos años, y las etiquetas importan. No deben mezclarse cuatro categorías de evidencia.

El Formulario 8-K enmendado de diciembre de 2023 de 23andMe es un relato corporativo principal. Dijo que un actor de amenazas accedió al 0.1% de las cuentas de usuario donde el nombre de usuario y la contraseña de 23andMe coincidían con credenciales previamente comprometidas o disponibles en otros lugares. También dijo que el actor utilizó esas cuentas para acceder a archivos que contenían información de perfiles de ascendencia que otros usuarios habían elegido compartir a través de DNA Relatives, y publicó cierta información en línea. La empresa dijo que no tenía indicios de que fuera la fuente de las credenciales. (Formulario 8-K enmendado de 23andMe)

El informe conjunto de junio de 2025 de la Oficina del Comisionado de Privacidad de Canadá y la Oficina del Comisionado de Información del Reino Unido es la reconstrucción pública consolidada más sólida. Se basó en las presentaciones de la empresa, entrevistas con el personal, material de fuentes abiertas y análisis de los reguladores. También registra una limitación material: los reguladores no recibieron todos los documentos solicitados, incluidos ciertos registros de incidentes internos y el informe forense, porque 23andMe invocó el privilegio legal. Eso no anula los hallazgos. Significa que el informe es inusualmente detallado pero no una divulgación completa del expediente forense subyacente. (Informe de investigación conjunta Canadá-Reino Unido)

El blog de la empresa, los archivos de valores, el informe del regulador, el acuerdo judicial aprobado y la demanda posterior responden a preguntas diferentes. Deben corroborarse mutuamente cuando sea posible, pero no deben forzarse en una narrativa sin fricciones. El cambio de una estimación inicial del 0.1% a la cifra posterior de 18,222 cuentas de los reguladores es un buen ejemplo: refleja la fecha del informe, el desarrollo de la evidencia y el método de conteo. No es permiso para llamar mentira a un número simplemente porque el otro llegó después.

De abril a octubre de 2023: el ataque en el tiempo

Antes de abril: cuentas sensibles con protección opcional

En el momento del incidente, los clientes podían iniciar sesión con una dirección de correo electrónico y una contraseña. La autenticación de múltiples factores basada en aplicaciones y el inicio de sesión único de Apple o Google estaban disponibles pero eran opcionales. La investigación conjunta encontró que aproximadamente el 78% de los clientes no usaban MFA ni SSO; solo el 0.2% usaba la MFA basada en aplicaciones ofrecida. Las cuentas de empleados que accedían a la información de la empresa tenían MFA o SSO obligatorios, mientras que las cuentas de clientes no.

Esa asimetría importa. La infraestructura interna se trataba como que requería un segundo factor, pero una cuenta de consumidor podía exponer informes de salud, resultados de ascendencia, información de parentesco y una ruta para solicitar datos de genotipo sin procesar solo con una contraseña. Los reguladores también encontraron que 23andMe no había simulado el relleno de credenciales contra el servicio orientado al cliente y no tenía un manual de incidentes específico para ese patrón de ataque. Sus pruebas de penetración se centraban en la infraestructura de back-end.

La MFA opcional no es falta de control. Los clientes que la habilitaron recibieron una protección significativa, y los reguladores dijeron que ninguna de las cuentas que usaban MFA o SSO de Apple o Google fue comprometida con éxito por relleno de credenciales en esta campaña. Pero una salvaguarda opcional coloca el riesgo de adopción en el usuario incluso cuando el servicio ha elegido concentrar datos inusualmente sensibles y visibilidad entre cuentas. La pregunta apropiada no es si existía MFA en una página de configuración. Es si el nivel de garantía predeterminado coincidía con lo que una sesión exitosa podía hacer.

Del 29 de abril al 16 de mayo: el primer período intenso

La cronología posterior del regulador data la campaña del 29 de abril al 20 de septiembre de 2023. Durante el primer período intenso, que terminó el 16 de mayo, 9,974 cuentas fueron accedidas exitosamente. El relleno de credenciales difiere de la adivinanza por fuerza bruta contra una sola cuenta: el atacante prueba pares de nombre de usuario y contraseña obtenidos de otras brechas o fuentes, esperando que algunas personas los hayan reutilizado. Por lo tanto, un inicio de sesión correcto puede parecer normal si el monitoreo examina cada cuenta de forma aislada.

La economía favorece al atacante. Los corpus de credenciales son reutilizables en todos los servicios, los intentos de inicio de sesión pueden distribuirse y la automatización convierte una baja tasa de éxito en una campaña viable. El servicio asume los costos de controles de bots, detección de anomalías, fricción para el cliente y soporte. El atacante solo necesita suficientes sesiones exitosas para justificar esos costos. En este caso, cada sesión exitosa también podía abrir una vista sobre miles de perfiles relacionados, lo que hacía que el retorno esperado por credencial válida fuera mucho mayor que el contenido de esa cuenta por sí sola.

Esta es la economía de contacto abusivo del evento. El primer contacto del atacante con el servicio fue un intento de inicio de sesión. Un contacto exitoso se convertía en una sesión duradera. La sesión luego se convertía en un canal de consulta hacia los perfiles compartidos de otras personas. Cada límite que seguía siendo barato de atravesar aumentaba el valor de extracción: otro inicio de sesión, otra página de coincidencias, otra solicitud de árbol genealógico, otro lote de datos de perfil. Por lo tanto, las defensas tenían que poner precio a toda la secuencia, no solo a la verificación de contraseña.

6 de julio: un millón de inicios de sesión y un colapso de plataforma

El 6 de julio, según el análisis de los reguladores de los registros de inicio de sesión de los clientes, un programa informático inició sesión en una cuenta gratuita sin muestra de ADN más de un millón de veces en un solo día. La actividad colapsó temporalmente la plataforma y se vinculó a un intento fallido de iniciar transferencias de perfiles. El evento fue operacionalmente ruidoso. También fue estructuralmente relevante: la transferencia de perfil es una forma de mover la gestión de un perfil genético entre cuentas.

23andMe investigó y tomó medidas contra las transferencias no autorizadas, pero no conectó la actividad con la campaña más amplia de relleno de credenciales. Un colapso de plataforma no es automáticamente evidencia de una brecha; los incidentes de disponibilidad pueden tener muchas causas. Sin embargo, en contexto, fue una señal de que un flujo de trabajo autenticado se estaba automatizando a un volumen excepcional. La falla de responsabilidad identificada por los reguladores no fue no inferir toda la campaña a partir de un gráfico. Fue no combinar esta anomalía con los eventos que siguieron.

Del 28 al 30 de julio: unos 400 intentos de transferencia

A finales de julio, el actor intentó automatizar transferencias de perfiles que involucraban aproximadamente 400 cuentas. 23andMe deshabilitó las solicitudes de transferencia, bloqueó temporalmente las cuentas potencialmente afectadas, requirió restablecimientos de contraseña para esos clientes y agregó una alerta para volúmenes de transferencia anormales. Su investigación interna concluyó que se había accedido a información limitada en 19 cuentas de clientes estadounidenses.

Esta respuesta muestra que la empresa podía actuar de manera acotada y rápida en torno a un flujo de trabajo reconocido. También expuso una debilidad en el control de contraseñas: un cliente podía restablecer una cuenta a una contraseña utilizada anteriormente. 23andMe cambió ese comportamiento en agosto. Pero la investigación no identificó que un ataque más amplio ya había accedido a miles de cuentas. El control se limitó al síntoma: abuso de transferencias, no al sistema de acceso a cuentas y extracción que lo rodeaba.

10 de agosto: una afirmación descartada como un engaño

23andMe recibió entonces mensajes en el portal de clientes de un individuo que afirmaba tener datos de más de 10 millones de clientes por un total de 300 terabytes. Un empleado también notó una afirmación similar en Reddit bajo el mismo nombre. El equipo de seguridad investigó y categorizó la afirmación como un engaño.

El número es una afirmación del atacante, no una medida confirmada, y debe permanecer etiquetado como tal. Los reguladores posteriores no validaron los 300 terabytes ni un robo de 10 millones de clientes. Su hallazgo fue sobre la adecuación de la investigación: las afirmaciones de brechas eran raras para la empresa, y esta afirmación llegó después del colapso de julio y los intentos de transferencia. Vistos colectivamente, esos eventos justificaban una investigación más profunda. El informe concluyó que una investigación más sólida en agosto podría haber revelado la campaña antes del segundo período intenso.

Este punto es importante para los informes de abuso. Una bandeja de entrada puede verse inundada de afirmaciones inverosímiles, extorsión, informes de investigadores, quejas de clientes y ruido. Tratar cada mensaje como verdadero es imposible. Tratar el triaje como la decisión final también es peligroso. Los servicios de alto impacto necesitan una regla de escalamiento que combine la novedad de la afirmación, los artefactos del reclamante, las anomalías contemporáneas y las rutas de ataque conocidas. El costo impuesto a un abusador para presentar una afirmación puede ser casi nulo; el costo de una investigación forense completa no lo es.

La gobernanza determina cuándo suficientes señales independientes justifican pagar ese costo.

Septiembre: el segundo período intenso

El actor reanudó el relleno intenso de credenciales en septiembre y comprometió 4,364 cuentas adicionales. A lo largo de la campaña, los reguladores encontraron dos distorsiones visibles en la proporción de inicios de sesión exitosos frente a fallidos, en mayo y septiembre. 23andMe tenía herramientas capaces de detectar el ataque, pero no estaban configuradas para alertar sobre el patrón. La configuración de umbrales era en gran medida manual, y la empresa no utilizó la información disponible del dispositivo, navegador y red para crear huellas de acceso sospechoso de clientes.

Esto es más preciso que decir que el servicio no tenía monitoreo. Tenía un firewall de aplicaciones web, reglas basadas en IP, desafíos, límites de tasa, una función de operaciones de seguridad, herramientas SIEM y un programa de recompensas por errores. La falla fue que el conjunto de controles no modelaba el ataque tal como estaba ocurriendo. Una campaña distribuida puede evitar límites simples por IP. Las credenciales correctas pueden evitar bloqueos por inicio de sesión fallido en las cuentas que importan.

La extracción después del inicio de sesión puede parecer un uso entusiasta del producto a menos que el sistema mida el recorrido del gráfico, la repetición de consultas, la velocidad de sesión y el alcance agregado de relaciones.

Del 1 al 10 de octubre: descubrimiento externo y primera contención

El 1 de octubre, el actor anunció datos robados en Reddit. 23andMe confirmó el 5 de octubre que el incidente era genuino y anunció el 6 de octubre que se había accedido a información de perfil sin autorización. Su relato público inicial atribuyó el acceso a la reutilización de credenciales y dijo que se podría haber obtenido información de los perfiles de DNA Relatives. (Actualización sobre el incidente y el plan de acción de 23andMe)

La contención no ocurrió en un solo movimiento. El 9 de octubre, cuatro días después de la confirmación, 23andMe invalidó las sesiones activas. El 10 de octubre envió un correo electrónico a todos los clientes, requirió un restablecimiento global de contraseñas y alentó la MFA. La empresa presentó su informe inicial a la ICO el 15 de octubre y al regulador canadiense el 18 de octubre después de que la oficina canadiense lo solicitara. Los informes regulatorios iniciales utilizaron una población afectada mundial de 1,103,647; los suplementos de finales de octubre la elevaron a 5,621,179.

La secuencia expone la importancia del control de sesiones. Cambiar una contraseña no necesariamente finaliza una sesión ya autenticada. Un plan de respuesta debe invalidar por separado los tokens, rotar o revocar otras credenciales, detener las exportaciones de alto riesgo, preservar la evidencia e identificar las vistas posteriores. Los reguladores encontraron que cuatro días era demasiado tiempo para deshabilitar todas las sesiones y exigir el restablecimiento después de que se hubiera confirmado un evento de datos de clientes de máxima prioridad.

Noviembre de 2023 a enero de 2024: inicio de sesión más fuerte, notificación más lenta

El 2 de noviembre, 23andMe deshabilitó las descargas de autoservicio de ADN sin procesar. La función regresó el 27 de febrero de 2024 con una verificación adicional de fecha de nacimiento. Los reguladores cuestionaron la fecha de nacimiento como un autenticador fuerte porque puede estar disponible públicamente o presente en otras brechas, aunque evaluaron las salvaguardas posteriores de la empresa en su conjunto en lugar de tratar este paso como suficiente.

El 9 de noviembre, el servicio hizo obligatoria la verificación en dos pasos por correo electrónico para los clientes que no usaban MFA de aplicación o SSO. La presentación enmendada ante la SEC fecha el requisito a principios de noviembre y confirma que los usuarios nuevos y existentes necesitarían verificación en dos pasos en adelante. La MFA basada en aplicaciones ya existía y podría haberse hecho obligatoria antes; 23andMe en cambio desarrolló un método de correo electrónico de menor fricción.

Los reguladores concluyeron que esto dejó las cuentas expuestas más tiempo del necesario, aunque también aceptaron a finales de 2024 que el conjunto de controles remediados combinado era apropiado.

La notificación continuó en capas. Las personas cuya información de DNA Relatives había sido publicada o se determinó que fue accedida recibieron avisos en octubre. Algunas aclaraciones sobre Family Tree siguieron en diciembre. A las personas cuyas cuentas habían sido directamente comprometidas no se les notificó ese hecho hasta enero de 2024, casi tres meses después de la confirmación y más de un mes después de que la empresa dijera que su investigación forense estaba completa.

El informe conjunto encontró omisiones en los avisos regulatorios e individuales, incluida la posible exposición del ADN sin procesar, el período del ataque, la publicación de información para la venta y algunos campos de la cuenta.

Conteo de cuentas, perfiles y personas

El incidente no tiene un solo número honesto a menos que la unidad y la fecha lo acompañen.

Aproximadamente 0.1% o unas 14,000 cuentas:Esta fue la descripción de la empresa a principios de diciembre de 2023 de las cuentas directamente comprometidas por relleno de credenciales. El porcentaje apareció en el 8-K enmendado. Los informes contemporáneos lo tradujeron a unas 14,000 basándose en la población del servicio.

18,222 cuentas directamente accedidas:Este fue el total mundial que 23andMe suministró posteriormente a la investigación Canadá-Reino Unido en julio de 2024: 769 en Canadá y 611 en el Reino Unido. Es la cifra de cuentas directas más desarrollada en el registro público de los reguladores.

5,497,376 perfiles de DNA Relatives y 1,468,791 perfiles de Family Tree:Estos son conteos posteriores de grupos de campos mundiales reportados a los reguladores. El informe dice que los grupos de DNA Relatives y Family Tree eran mutuamente excluyentes, mientras que las poblaciones de DNA Relatives e informes de ascendencia no lo eran. El Formulario 10-K del año fiscal 2024 de la empresa redondeó las categorías a aproximadamente 5.5 millones de perfiles de DNA Relatives y 1.5 millones de perfiles de Family Tree. (Formulario 10-K del año fiscal 2024 de 23andMe)

6,984,430 clientes afectados en todo el mundo:23andMe reportó este total al regulador canadiense el 4 de diciembre de 2023, con 319,635 en Canadá. El informe conjunto generalmente describe casi siete millones de clientes afectados. El acuerdo de demanda colectiva de EE. UU. utilizó posteriormente aproximadamente 6.4 millones de residentes de EE. UU. para el alcance de la clase.

Estas cifras describen poblaciones anidadas e intersectadas, no cuatro números para sumar. Un titular de cuenta directamente accedida también podía tener un perfil de DNA Relatives. Una persona podía tener tanto información de ascendencia como un perfil de parentesco. Un perfil de Family Tree podría referirse al titular de la cuenta u a otra persona representada en el árbol. La precisión requiere un esquema: persona, cuenta, perfil genético, registro de parentesco, nodo de árbol genealógico, informe y archivo descargado son objetos diferentes.

El conteo de ADN sin procesar es aún más acotado. En julio de 2024, 23andMe informó 18 descargas mundiales de ADN sin procesar y 49 instancias en las que se accedió o navegó el ADN sin procesar. Los reguladores identificaron debilidades en el método forense, incluida la falta de registros originales del proveedor de la nube y un registro personalizado mal configurado. En abril de 2025, tras un análisis adicional, 23andMe revisó el número de descargas de ADN sin procesar atribuidas al actor a cuatro en todo el mundo, ninguna en Canadá o el Reino Unido. Los reguladores no verificaron de forma independiente esa revisión.

La conclusión correcta no es que el ADN sin procesar de siete millones de personas fue descargado. El registro no respalda eso. Tampoco es que ningún ADN sin procesar estuviera involucrado. La posición posterior de la empresa fue de cuatro descargas atribuidas, mientras que los reguladores documentaron incertidumbre metodológica. Aquí es exactamente donde un artículo forense debe detenerse en el límite de la evidencia.

Qué podía revelar una sesión exitosa

Los datos también deben dividirse por ruta de acceso.

Para unacuenta directamente accedida, los campos disponibles podían incluir nombre completo, fecha de nacimiento, sexo al nacer, género, correo electrónico, país y código postal, altura y peso; informes de ascendencia; informes de salud; condiciones de salud autoinformadas; e información de genotipo sin procesar. No se deduce que cada una de las 18,222 cuentas contenía todos los campos o que se descargaran todos los campos disponibles. El informe conjunto proporciona un conteo más específico reportado de 8,217 cuentas comprometidas con informes de salud y 63 con condiciones de salud autoinformadas.

Para unperfil de DNA Relatives conectado, el material expuesto era más limitado pero aún sensible: nombres o nombres para mostrar, año de nacimiento y ubicación autoinformados, imagen de perfil, raza u origen étnico, relación predicha, porcentaje de ADN compartido, segmentos coincidentes e información opcional de ascendencia y árbol genealógico. Este fue el multiplicador. El actor vio esos registros a través de la autoridad de las cuentas directamente accedidas.

Para losperfiles de Family Tree, el registro se refiere a la información representada en los árboles genealógicos vinculados. Un nodo de árbol genealógico no debe equipararse casualmente con un cliente único del servicio o un registro genético sin procesar. El producto puede describir parientes y linaje sin que cada persona representada sea un titular de cuenta analizado.

Para loslistados del atacante, el hecho de una oferta o publicación no valida cada etiqueta aplicada por el vendedor. Los reguladores encontraron que algunos datos fueron anunciados y que los avisos a los afectados deberían haber revelado ese hecho. La demanda de California de 2026 hace alegatos adicionales sobre listas dirigidas, una negociación de rescate, vulnerabilidades del producto y declaraciones de la empresa. Esos alegatos son serios, pero al momento de publicación, la demanda es un escrito inicial, no una sentencia. Debe citarse como el caso del estado, no convertirse en un hecho adjudicado. (Demanda y anuncio del Fiscal General de California)

Esta separación protege a las personas afectadas de dos errores a la vez: minimizar la divulgación no autorizada de ascendencia y parentesco porque no era siempre un archivo sin procesar, y exagerar el evento hasta afirmar que se tomaron genomas completos de siete millones de personas. Ambos distorsionan la responsabilidad.

El diseño del producto hizo posible la proporción

El propósito del producto era la conexión. DNA Relatives creaba valor mostrando a los clientes un amplio conjunto de coincidencias y suficiente contexto para reconocer relaciones familiares. Los controles de seguridad no podían simplemente eliminar toda la visibilidad compartida sin deshabilitar la función. Sin embargo, podían gobernar cuánta autoridad acumulaba una sesión y con qué rapidez podía ejercer esa autoridad.

Siguen al menos cinco preguntas de diseño.

Primero,¿debería ser igualmente visible un gráfico de relaciones inmediatamente después de cada inicio de sesión?Un nuevo dispositivo, ubicación inusual o cuenta recientemente recuperada podría recibir una vista reducida hasta la autenticación por pasos. El objetivo no es ocultar los resultados propios de una persona. Es distinguir el acceso propio del acceso masivo a los perfiles de otras personas.

Segundo,¿cuál es el alcance máximo útil de una sesión?Un producto puede calcular miles de coincidencias, pero no necesita entregarlas a velocidad de máquina o exponer los mismos campos a través de cada punto final. La paginación, los presupuestos por sesión, la divulgación progresiva y las exportaciones limitadas por propósito pueden aumentar el costo de extracción mientras mantienen el descubrimiento normal utilizable.

Tercero,¿qué consultas revelan datos de parentesco?La telemetría de seguridad debe entender el producto. Contar las solicitudes HTTP es más débil que medir los perfiles únicos vistos, la expansión del árbol genealógico, la recuperación de informes de ascendencia, las consultas de segmentos compartidos y el recorrido repetido entre muchas cuentas. Un ataque puede permanecer por debajo de un umbral de solicitud genérico mientras viola todos los patrones normales de uso de parentesco.

Cuarto,¿qué consentimiento se aplica después de que la cuenta del espectador se ve comprometida?Una persona optó por compartir con parientes genéticos utilizando el servicio, no con cualquiera que pueda presentar la contraseña de un pariente. El consentimiento no puede autenticar al espectador. La plataforma debe hacer cumplir las condiciones bajo las cuales la elección de compartir sigue siendo significativa.

Quinto,¿puede una persona conectada ver o revocar la ruta de exposición?El historial de eventos de la cuenta ayuda al cliente directamente accedido, pero un pariente cuyo perfil fue visto a través de la sesión de otra persona no tiene un registro de sesión natural propio. Por lo tanto, el servicio necesita un análisis de incidentes consciente del gráfico y notificación. Debe ser capaz de responder no solo qué cuentas fueron ingresadas, sino qué otros perfiles alcanzó cada sesión hostil.

Aquí es donde la minimización de datos se convierte en un control operativo. Eliminar una ubicación opcional, año de nacimiento o apellido de las vistas de relación predeterminadas puede reducir las consecuencias sin abolir el emparejamiento. Separar el descubrimiento de perfiles de los informes de ascendencia detallados puede crear un límite de autenticación por pasos. Limitar los perfiles antiguos o inactivos puede reducir el alcance retenido. Estas son elecciones de producto, no sermones sobre contraseñas.

Valores predeterminados de MFA y el deber compartido sobre las contraseñas

Los clientes no deben reutilizar contraseñas. La reutilización permite que una brecha en un servicio se convierta en una llave para otro, y el atacante sigue siendo responsable de usarla. Pero la culpa del cliente no agota la responsabilidad de la plataforma. Los servicios saben que la reutilización de credenciales es lo suficientemente común como para ser un modelo de amenaza estándar. La Comisión Federal de Comercio de EE. UU. advirtió en 2017 que las empresas que protegen cuentas sensibles deben combinar técnicas de autenticación porque los atacantes automatizan las credenciales robadas a escala. (Guía de la FTC sobre contraseñas seguras y autenticación)

La responsabilidad de 23andMe se vio agravada por el alcance de la sesión. El cliente directamente accedido puso en riesgo su propia cuenta mediante la reutilización; no configuró el producto para exponer hasta miles de coincidencias. Los parientes conectados no eligieron la contraseña comprometida en absoluto. La empresa era el único actor capaz de hacer obligatoria una autenticación más fuerte en todo el servicio.

Los reguladores identificaron tres brechas preventivas: MFA obligatorio, verificación de contraseñas comprometidas y fuerza mínima de contraseña. El registro sobre la detección de contraseñas era internamente inconsistente. Una respuesta dijo que la empresa no verificaba contra conjuntos de datos comprometidos; una entrevista dijo que verificaba contra 20,000 contraseñas repetidas con frecuencia de un conjunto de datos de 2021. Cualquiera de las versiones era mucho más limitada que un monitoreo continuo contra un corpus amplio.

La orientación técnica actual respalda los controles en capas. NIST SP 800-63B exige verificar las contraseñas propuestas contra valores comunes, esperados o comprometidos y una limitación de tasa efectiva; también establece claramente que las contraseñas no son resistentes al phishing. (NIST SP 800-63B) La guía de relleno de credenciales de OWASP agrega MFA contextual, señales de dispositivo y conexión, identificación de contraseñas filtradas, visibilidad de eventos del usuario y métricas en todas las defensas. (Hoja de referencia de prevención de relleno de credenciales de OWASP) Estos son puntos de referencia, no prueba de que un control hubiera detenido todas las técnicas.

La verificación en dos pasos por correo electrónico obligatoria fue una mejora significativa sobre el inicio de sesión solo con contraseña, pero no es el factor más fuerte posible. Si una cuenta de correo electrónico comparte la misma contraseña comprometida, un atacante podría acceder a ambas. Los autenticadores de aplicación y los métodos resistentes al phishing pueden proporcionar una separación más fuerte. Un diseño maduro puede emparejar una línea base obligatoria ampliamente accesible con opciones más fuertes, autenticación por pasos basada en el riesgo y recuperación reforzada.

Debe medir la adopción y las rutas de derivación, no solo anunciar que existe una función.

La extracción es un evento de seguridad cuando la autenticación tiene éxito

El relleno de credenciales tuvo éxito solo ocasionalmente en relación con el total de intentos, pero la extracción posterior hizo que esos éxitos fueran valiosos. Esto cambia la detección de un problema de inicio de sesión a un problema de comportamiento de sesión.

Los reguladores no encontraron alertas a lo largo de cinco meses a pesar de miles de cuentas accedidas. Pudieron identificar los períodos de ataque de mayo y septiembre a partir de la proporción de inicios de sesión exitosos frente a fallidos. También encontraron que 23andMe poseía los datos de dispositivo, navegador y red necesarios para la creación de huellas, pero no los utilizó para ese propósito, citando sus otros controles y preocupaciones de privacidad.

Esa compensación merece cuidado. La creación de huellas de dispositivos puede convertirse en rastreo intrusivo si se recopila sin límites o se reutiliza para publicidad. La respuesta no es vigilancia ilimitada en nombre de la seguridad. Es la limitación del propósito: recopilar las señales mínimas necesarias, definir la retención, aislar la telemetría de fraude del marketing, proporcionar transparencia, restringir el acceso y probar la efectividad. El costo de privacidad de un control pertenece a la revisión del diseño; también lo hace el costo de privacidad de dejar millones de perfiles conectados extraíbles.

El servicio también necesita controles agregados. Una sola dirección IP no es la única unidad útil. Los defensores pueden evaluar intentos por fuente de credencial, familia de dispositivos, bloque de red, huella de automatización, clúster de sesión y patrón de vista de perfil. Pueden establecer presupuestos para los familiares únicos vistos, detectar el recorrido uniforme, comparar el tiempo de navegación con el comportamiento humano y desafiar las exportaciones riesgosas. El objetivo no es afirmar una detección perfecta de bots.

Es hacer que la extracción sea más lenta, ruidosa y costosa, mientras se produce evidencia sobre la que un analista pueda actuar.

La economía del contacto abusivo también se aplica a los canales de respuesta. Un equipo de seguridad necesita una forma de baja fricción para que los clientes e investigadores informen comportamientos sospechosos, pero cada canal barato atrae ruido. El triaje debe preservar los artefactos, vincular los informes a la telemetría y escalar basándose en señales combinadas.

El mensaje de agosto de 2023 muestra por qué descartar una afirmación no puede ser el final del registro: incluso una afirmación de volumen falsa puede apuntar hacia una clase real de actividad cuando la plataforma ya se ha colapsado bajo la automatización y ha visto cientos de intentos sospechosos de transferencia.

La notificación tenía que seguir a las personas, no a las cuentas

La empresa notificó a diferentes grupos entre octubre de 2023 y enero de 2024 a medida que se desarrollaba su análisis. Eso es comprensible en principio: el alcance del incidente cambia y la certeza prematura puede inducir a error. Los hallazgos regulatorios fueron más específicos. Los avisos de octubre a los sujetos de perfiles conectados no decían que cierta información había sido publicada para la venta. Los avisos a los titulares de cuentas directamente accedidas llegaron más tarde y no describían consistentemente todos los campos de configuración de la cuenta o el período de ataque de abril a septiembre.

Los informes regulatorios iniciales omitieron la posibilidad de que el ADN sin procesar, los informes de salud y ascendencia en las cuentas comprometidas se hubieran visto afectados.

El diseño de la notificación heredó el modelo de datos del producto. Si el sistema de respuesta comienza con una lista de identificadores de cuentas comprometidas, naturalmente contactará primero a los titulares de cuentas. Pero el grupo más grande de afectados consistía en personas cuyos perfiles fueron alcanzados a través de la cuenta de otra persona. Un proceso de brecha consciente del gráfico necesita un libro mayor de exposición: sesión hostil, cuenta de origen, punto final visto, perfil conectado, campos disponibles, campos recuperados, tiempo, jurisdicción y estado de notificación.

Ese libro mayor también evita la sobre-notificación. Una persona cuyo nombre para mostrar y el porcentaje de ADN compartido fueron vistos debe recibir un aviso que diga eso, no una advertencia genérica que implique que se descargó un archivo de genotipo sin procesar. Un titular de cuenta directamente accedida con acceso a informes de salud necesita un mensaje diferente. Un sujeto de un árbol genealógico que no es titular de cuenta puede requerir una ruta legal y práctica diferente nuevamente.

El informe conjunto encontró que la brecha superó los umbrales de notificación tanto bajo PIPEDA de Canadá como bajo el GDPR del Reino Unido. También encontró demoras y deficiencias de contenido bajo esos regímenes. El comisionado canadiense consideró que las salvaguardas mejoradas resolvían el problema de control de seguridad, mientras que el regulador del Reino Unido impuso una multa de GBP 2.31 millones por fallas que involucraron a 155,592 usuarios del Reino Unido e infracciones que se extendieron hasta finales de 2024. (Registro de ejecución de la ICO del Reino Unido sobre 23andMe) La multa no es un precio global por la brecha; refleja los poderes, la población y el análisis legal de una autoridad.

La localidad de los datos es más que dónde se encuentra el servidor

Este incidente muestra tres localidades diferentes.

Localidad de almacenamientopregunta dónde se mantienen física o contractualmente la información personal, las muestras, los registros y las copias de seguridad. Es importante para los mecanismos de transferencia, el acceso gubernamental, el riesgo del proveedor y las expectativas del cliente. Pero ninguna evidencia revisada muestra que trasladar el mismo producto sin cambios a un servidor en otro país hubiera impedido que las credenciales reutilizadas válidas abrieran los mismos perfiles.

Localidad de accesopregunta dónde se aplica la autoridad. En este caso, el límite decisivo era lógico: una sesión de cliente exitosa podía alcanzar perfiles conectados. Una autenticación más fuerte, el riesgo de sesión, los límites de consulta y la autorización a nivel de perfil habrían cambiado esa localidad incluso si cada byte permaneciera en la misma instalación.

Localidad legalpregunta qué ley y regulador se aplican a la persona, al responsable del tratamiento, al procesamiento y a la transferencia. Las autoridades canadienses y del Reino Unido pudieron investigar conjuntamente a una empresa estadounidense porque los residentes canadienses y del Reino Unido se vieron afectados y se aplicaban sus respectivas leyes. Su informe proporciona conteos separados por país, deberes de notificación separados y conclusiones separadas. La coordinación redujo la duplicación de la investigación de hechos, pero no fusionó PIPEDA y el GDPR del Reino Unido en una sola ley.

La declaración de privacidad actual de la empresa distingue la información genética, la información de la muestra, la información autoinformada, los datos de la cuenta y las opciones de intercambio, y proporciona derechos y contactos específicos de la región. También dice que la eliminación de la cuenta activa la exclusión voluntaria de la investigación y el descarte de la muestra, sujeto a los límites establecidos. La política actual es útil para evaluar los compromisos presentes, pero no es prueba de lo que cada cliente entendió en 2023 o de que los controles históricos funcionaron como se prometió. (Declaración de privacidad actual de 23andMe)

La quiebra hizo tangible la localidad legal. 23andMe Holding Co. y sus subsidiarias presentaron peticiones del Capítulo 11 en marzo de 2025. El presidente de la FTC advirtió al síndico de EE. UU. que una venta o transferencia de información sensible genética, de muestras, de salud y de parentesco debía respetar las promesas sobre privacidad, elección y eliminación. (Carta de la FTC sobre la quiebra de 23andMe) Los reguladores canadienses y del Reino Unido escribieron por separado a los funcionarios estadounidenses sobre las obligaciones hacia las personas en sus jurisdicciones. (Carta conjunta de privacidad por quiebra Canadá-Reino Unido)

En julio de 2025, se cerró la venta aprobada por el tribunal de quiebras de sustancialmente todos los activos operativos a TTAM Research Institute, posteriormente llamado 23andMe Research Institute, por $305 millones. El comprador se comprometió a respetar las opciones de privacidad existentes, la eliminación y las exclusiones voluntarias de investigación; restringir ciertas transferencias futuras a entidades nacionales calificadas que adopten las políticas; crear un consejo asesor de privacidad; e informar sobre los procedimientos de privacidad. La presentación ante la SEC confirma el cierre, mientras que los materiales de compra de activos describen las salvaguardas. (Formulario 8-K de cierre de venta de 23andMe)

Esos términos demuestran que la gobernanza de datos puede sobrevivir como una obligación a través del cambio de propiedad en lugar de viajar como un activo sin restricciones. No hacen de la geografía una salvaguarda completa, y no borran las disputas sobre si se requería legalmente el consentimiento individual para la transferencia. Los fiscales generales estatales impugnaron la venta propuesta; se recordó a los clientes las opciones de eliminación y destrucción de muestras; la transacción, sin embargo, se cerró bajo la autoridad judicial y las condiciones negociadas.

La lección no es que la quiebra cancela automáticamente las promesas de privacidad, o que una política de privacidad puede resolver todas las cuestiones de acreedores y leyes estatales. Es que los términos de administración, la capacidad de eliminación y los derechos específicos de la jurisdicción deben diseñarse antes de la angustia, cuando la evidencia y el personal son más fuertes.

Los costos miden cosas diferentes

23andMe reportó $4.6 millones en gastos por incidentes en el año fiscal 2024, compensados por $2.8 millones de recuperación probable del seguro, principalmente para consultoría tecnológica, trabajo legal y otros asesores. Esos son costos de respuesta de la empresa, no una valoración del daño al cliente.

El litigio privado produjo otro conjunto de números. Un acuerdo de demanda colectiva propuesto en EE. UU. comenzó con un fondo no reversible de $30 millones y se trasladó al procedimiento de quiebra. La estructura final proporcionó un fondo de al menos $30 millones y hasta $50 millones, categorías de efectivo para reclamos elegibles y cinco años de monitoreo de privacidad, médico y genético. El tribunal de quiebras otorgó la aprobación final el 30 de enero de 2026. El sitio oficial del acuerdo dice que la clase concierne a aproximadamente 6.4 millones de residentes de EE. UU., que la fecha límite para reclamos en efectivo ha pasado y que la distribución espera la conciliación de la quiebra. (Sitio oficial del acuerdo de datos de 23andMe)

El acuerdo resuelve reclamos privados y libera los reclamos cubiertos según sus términos. No es un fallo judicial de que todas las alegaciones fueran ciertas, y los beneficios del acuerdo no son evidencia de que un reclamante sufriera un mal uso genético particular. La etiqueta de monitoreo no debe confundirse con una capacidad técnica para revertir una exposición. Es un beneficio de servicio definido y un mecanismo de apoyo al riesgo.

El Formulario 10-K del año fiscal 2025 describió $37.5 millones en compromisos agregados a través de los acuerdos de la clase, arbitraje y tribunales estatales tal como estaban estructurados en ese momento, junto con la exposición a litigios y regulatoria. Esa presentación es anterior a los ajustes finales de la quiebra y la aprobación, por lo que no debe sustituirse por la descripción posterior del fondo administrado por el tribunal. Sigue siendo evidencia útil de cómo se acumularon múltiples canales de disputas en torno a un incidente. (Formulario 10-K del año fiscal 2025 de 23andMe)

La multa del Reino Unido mide una infracción de derecho público para una jurisdicción y período definidos. La demanda de California de 2026 es otra acción de aplicación pública, que alega fallas bajo la Ley de Privacidad de Información Genética, la Ley de Privacidad del Consumidor de California, la ley de seguridad razonable y los estatutos de protección al consumidor. También alega hechos más allá del informe conjunto de 2025. Estos siguen siendo alegatos a menos que sean admitidos o probados.

El acuerdo privado, la sanción regulatoria, la recuperación del seguro y los ingresos de la venta por quiebra pertenecen a columnas separadas; sumarlos en un solo 'costo de la brecha' produciría un total financieramente ordenado pero legalmente sin sentido.

La remediación se volvió lo suficientemente específica como para probar

Para el 31 de diciembre de 2024, 23andMe dijo a los investigadores de Canadá-Reino Unido que había implementado un conjunto de controles más amplio. Los reguladores aceptaron las medidas colectivamente como suficientes para resolver las preocupaciones de salvaguardas que habían identificado, y el regulador del Reino Unido trató a la empresa como que cumplía con los requisitos de seguridad pertinentes a partir de ese momento. Ese es un hallazgo favorable significativo, con un límite: no certifica la efectividad perpetua después del cambio de propiedad y organización.

Los cambios reportados incluyeron una contraseña mínima de 12 caracteres, verificaciones contra un corpus de contraseñas comprometidas mucho más amplio en el registro, inicio de sesión y restablecimiento, verificación en dos pasos por correo electrónico obligatoria, protecciones en torno a las descargas de datos sin procesar y de salud, un retraso de 48 horas antes de la entrega de ADN sin procesar, ejercicios simulados de relleno de credenciales, monitoreo revisado, más de 253 nuevas alertas SIEM, monitoreo de sesiones basado en el comportamiento, monitoreo de la web oscura, una función de navegador de confianza e historial de eventos de

cuenta descargable.

También se reforzó la gobernanza del producto, la seguridad y la ingeniería.

Un inventario de controles no es lo mismo que un resultado de control. El siguiente paso útil es pedir evidencia sin exigir detalles explotables.

El retraso de 48 horas ilustra una buena fricción cuando se combina con un aviso seguro y cancelación: priva a una sesión hostil de la extracción instantánea y le da al usuario genuino tiempo para reaccionar. Pero el retraso sin un canal de contacto confiable solo pospone la pérdida. Una verificación de fecha de nacimiento puede agregar ceremonia mientras se basa en información ya visible en otros lugares. Los controles deben evaluarse como una cadena.

Lo mismo se aplica a la verificación en dos pasos por correo electrónico obligatoria. Probablemente bloquea la versión simple de esta campaña cuando solo está disponible una contraseña de 23andMe. Es más débil cuando la cuenta de correo electrónico también está comprometida. Se deben fomentar factores más fuertes para todos los usuarios y requerirlos para acciones especialmente importantes. La plataforma debe mantener rutas de recuperación para las personas que pierden factores sin permitir que una interacción de soporte se convierta en la derivación más fácil.

Quién controlaba qué

El actor de amenazascontroló la decisión de probar credenciales robadas, ingresar a cuentas, automatizar funciones del producto, extraer perfiles y publicar u ofrecer información. La intención criminal no se transfiere a la empresa simplemente porque los controles eran débiles.

Los clientes con credenciales reutilizadascontrolaron su elección de contraseña en todos los servicios y deberían haber utilizado una contraseña única y la MFA disponible. Su responsabilidad es real pero limitada. No controlaron el monitoreo, la autorización de funciones, la invalidación de sesiones ni el número de familiares visibles a través de su cuenta.

Los familiares conectados y los sujetos de perfilescontrolaron algunas opciones de intercambio y campos opcionales. No controlaron la seguridad de cada cuenta coincidente ni la decisión de la plataforma de otorgar una amplia visibilidad después de un inicio de sesión solo con contraseña. Optar por una función no es consentimiento para la automatización hostil.

23andMecontroló la línea base de autenticación del cliente, la detección de contraseñas, el diseño de sesiones y exportaciones, la visibilidad de coincidencias, la telemetría, el triaje de incidentes, el tiempo de respuesta, el mapeo de datos y los avisos. También seleccionó el modelo de sensibilidad y pudo comparar la protección de las cuentas de empleados con la protección de las cuentas de clientes. Es por eso que la responsabilidad práctica recae más pesadamente en el servicio a pesar de que no originó las credenciales reutilizadas.

Los reguladores y tribunalescontrolaron los remedios dentro de leyes y procedimientos particulares. Los comisionados canadienses y del Reino Unido pudieron hacer hallazgos sobre salvaguardas y avisos para sus residentes. La autoridad del Reino Unido pudo imponer su multa. El tribunal de quiebras pudo aprobar la venta y los términos del acuerdo. California puede presentar un caso estatal. Ninguno tiene jurisdicción universal sobre cada cliente o cada cuestión.

El instituto sucesorcontrola el servicio operativo y heredó los compromisos de administración después de la venta de activos. La antigua empresa holding pública, renombrada Chrome Holding Co., sigue siendo relevante para las distribuciones de la quiebra y los litigios. Un nombre claro importa porque los clientes deben saber qué entidad opera el producto, qué entidad tiene los datos, qué entidad debe las obligaciones del acuerdo y qué entidad recibe una solicitud de eliminación.

Qué permanece desconocido

El registro público no incluye el informe forense completo, todos los registros de incidentes, la infraestructura hostil completa, la fuente exacta de credenciales, todo el código de punto final o el historial completo de consultas. Los reguladores señalaron expresamente el material solicitado faltante y las debilidades en el registro de descargas sin procesar. Un relato confiado debe conservar esas lagunas.

No se ha establecido que la tienda de credenciales propia de 23andMe fuera vulnerada. La empresa dijo consistentemente que no encontró indicios de que suministrara los pares de nombre de usuario y contraseña, y los reguladores describieron una campaña de relleno de credenciales utilizando credenciales robadas en otros incidentes.

No se ha establecido que se descargaran casi siete millones de archivos de genotipo sin procesar o informes de salud. La mayor población se refiere a la información de DNA Relatives, ascendencia y Family Tree. Los campos de cuentas directas y los eventos de datos sin procesar son categorías más pequeñas, contadas por separado.

No se ha establecido que cada anuncio del atacante fuera exacto, que un motivo ideológico particular impulsara la selección o comercialización de registros, o que cada registro reclamado fuera único. El hecho de que la información se comercializara utilizando categorías sensibles de ascendencia es importante para el aviso y la evaluación de riesgos; el motivo y el uso posterior aún requieren evidencia.

No se ha establecido en el material revisado que una persona específica sufriera discriminación laboral, denegación de seguro, lesiones médicas, ataques por parte de las fuerzas del orden o robo de identidad debido a este evento. Esas son preocupaciones concebibles en torno a los datos genéticos y de identidad, pero la posibilidad no es un hallazgo.

Tampoco se ha establecido que la remediación siga siendo efectiva indefinidamente. Los reguladores aceptaron las medidas combinadas hasta finales de 2024. La quiebra, los cambios en la fuerza laboral y la transferencia a un nuevo instituto hacen que el aseguramiento continuo sea especialmente importante. Un control que pasó una revisión puede degradarse por cambios de configuración, presión presupuestaria o una nueva ruta de producto.

La responsabilidad comienza en el borde de la cuenta de otro

El incidente comenzó con credenciales que funcionaban. Se convirtió en una exposición masiva porque el servicio adjuntó más autoridad a esas credenciales que el propio registro de la persona directamente accedida. Ese es el lente de responsabilidad que vale la pena llevar más allá de 23andMe.

Cualquier plataforma construida en torno a hogares, equipos, pacientes, estudiantes, árboles genealógicos o gráficos sociales puede exponer a una persona a través de la sesión de otra. El denominador correcto no es, por lo tanto, las cuentas comprometidas. Es las personas y los registros alcanzables desde la autoridad comprometida. El control correcto no es meramente un inicio de sesión más fuerte. Es un inicio de sesión más fuerte combinado con un alcance de sesión limitado, detección de extracción consciente del producto, evidencia de exportación confiable, contención rápida y notificación a nivel de persona.

La soberanía de los datos sigue la misma lógica. Un servidor doméstico no crea control local si una sesión remota puede recorrer un gráfico de relaciones global. Una política de privacidad no preserva la elección si las obligaciones de eliminación, consentimiento y transferencia desaparecen durante una venta. La jurisdicción legal no se mapea claramente a la arquitectura del sistema, por lo que el servicio debe llevar el estado de residencia, derechos y notificación junto con los datos.

La conclusión más defendible es más estrecha que el titular de brecha más ruidoso y más exigente que la primera explicación de la empresa. La reutilización de contraseñas abrió la puerta. El diseño del producto la amplió. El monitoreo no reconoció el paso repetido. La respuesta y la notificación cerraron diferentes partes de ella en diferentes fechas. Los controles posteriores, los hallazgos de los reguladores y los términos judiciales crearon un registro de responsabilidad medible.

La obligación restante es demostrar, continuamente, que la cuenta de una persona ya no puede convertirse en una ruta de extracción barata hacia miles de otras vidas.