23ANDME とクレデンシャルスタッフィング侵害：親族が曝露面となった経緯

概要

• 確認されたアクセスは階層的だった:23ANDME は当初、約0.1%のユーザーアカウント（当時約14,000件と言われた）が、他のサービスから再利用された認証情報でアクセスされたことを明らかにした。後のカナダ・英国共同調査では、全世界で18,222件のアカウントが直接アクセスされたと報告された。これらのセッションを通じて、攻撃者はほぼ700万人の顧客の DNA Relatives と Family Tree の情報をスクレイピングした。
• 親族が被害範囲を拡大した:DNA Relatives にオプトインした顧客は、選択したプロフィール、祖先情報、関係情報をマッチング相手に見えるようにした。そのため、攻撃者は影響を受けるすべての人がパスワードを再利用している必要はなかった。製品は、少数の有効なログインを、はるかに大規模な関係グラフを閲覧する権限に変換したのだ。
• 検知と対応が複数の段階で失敗した:規制当局は、集中的なクレデンシャルスタッフィングの時期、1つのアカウントへの100万回以上のログインによる7月のプラットフォームクラッシュ、数百回のプロフィール転送の試み、8月の大規模窃取の主張を特定した。大規模なキャンペーンは、2023年10月に盗難データが宣伝されるまで確認されなかった。その後、二段階認証の義務化、全世界的なパスワードリセット、未加工 DNA ダウンロードの制限強化が行われた。
• 責任は分散しているが均等ではない:攻撃者は不正アクセス、スクレイピング、公開の責任を負う。パスワードを再利用した顧客は初期経路を作成した。認証デフォルト、侵害パスワードのスクリーニング、セッション権限、関係クエリ制限、テレメトリ、対応、通知は、23ANDME だけが管理していた。その後の規制調査結果、英国の制裁金、集団訴訟の和解、破産時の売却保護、係争中のカリフォルニア州の執行事案は、異なる法的問題を評価したものであり、下流での遺伝子誤用の具体的な主張を証拠なしに裏付けるものではない。

1つのパスワード、多数の人々

従来のアカウント乗っ取りの集計では、攻撃者がいくつのアカウントに侵入したかが問われる。これは本事案において必要だが、根本的に不完全だ。DNA Relatives は、参加している1人の顧客に、遺伝的マッチの集合を表示するために構築された。共同調査によれば、サブスクリプションレベルに応じて、有効なアカウントは1,500件または5,000件の DNA Relatives プロフィールを見ることができた。マッチングでは、表示名、予測関係、共有 DNA の割合、オプションで祖先情報、位置、生年、写真、姓、家系図の項目が露出する可能性があった。23ANDME の現在の説明は、依然として根底にある共有モデルを明快にしている。参加者は遺伝的マッチに表示されることを選択し、選択された詳細がその関係コンテキスト内で可視化される。（23ANDME DNA Relatives のプライバシーと表示設定）

これは、プロフィールをオープンウェブに公開することと同じではなかった。可視性は、認証された23ANDME アカウント、この機能への参加、そしてサービスによって計算された遺伝的マッチ関係に条件付けられていた。しかし、条件付き共有は広範な認証面を作り出す可能性がある。攻撃者が参加顧客になりすましに成功すると、サービスはそのセッションが他の人々から提供された情報を見る権利があるとみなした。これらの他の人々は、一意のパスワードとより強力な認証を使用していたかもしれない。それでも、彼らのセキュリティは最も弱い接続アカウントと、そのアカウントが取得できるものを制限する制御に部分的に依存していた。

これが共有プロフィール問題である。侵害されたアカウント保有者と露出したデータ主体はしばしば別人である。一方は認証情報を管理し、もう一方は可視化されたプロフィールを提供し、プラットフォームは関係を定義してアクセスを許可する。事象をすべてパスワード再利用に帰する分析は、これらの役割を一つに潰してしまう。また、成功したログインごとの価値を倍増させた製品設計上の決定も見落とす。

この区別は、遺伝子サービスにおいて特に重要である。なぜなら、関係情報は本質的にリレーショナルだからだ。共有 DNA の割合は、少なくとも2人の間のつながりを記述する。家系図は、アカウントを開設していない人々を含むことがある。予測関係は比較データから生成され、片方だけが運用上所有するものではない。一人の顧客がマッチング機能に参加することに同意しても、別の顧客の侵害されたセッションの検知や制約に関する技術的管理権は持たない。

これらのいずれも、特定の遺伝的害を証明するものではない。レビューされた記録は、雇用主、保険会社、政府機関、医療判断者が露出した情報を影響を受けた人に対して使用したことを立証していない。しかし、不正なアカウントアクセス、自動化された収集、一部情報のオンライン投稿または提供、定義されたプロフィールとアカウント項目の露出は立証している。アカウンタビリティは、これらの実証された事象と、規制当局が法的に評価する義務を負ったリスクに置かれるべきであり、捏造された下流のストーリーではない。

証拠は4つの異なる箱に分けられる

公的記録は2年間でより詳細になり、ラベルが重要になる。4つの証拠カテゴリーは混同すべきでない。

2023年12月の23ANDME 修正フォーム8-K は主要な会社説明である。そこでは、脅威アクターが、23ANDME のユーザー名とパスワードが以前に侵害されたか他所で入手可能な認証情報と一致したユーザーアカウントの0.1%にアクセスしたと述べている。また、アクターがこれらのアカウントを使用して、他のユーザーが DNA Relatives を通じて共有することを選択した祖先プロフィール情報を含むファイルに到達し、一部の情報をオンラインに投稿したとも述べている。同社は、自社が認証情報の流出源である兆候はないとしている。（23ANDME 修正フォーム8-K）

2025年6月のカナダプライバシーコミッショナー事務所と英国情報コミッショナー事務所による共同報告書は、最も強力な統合された公的再構築である。これは会社の提出物、スタッフインタビュー、オープンソース資料、規制当局の分析に基づいている。報告書はまた、重要な限界も記録している。規制当局は、23ANDME が法的特権を主張したため、特定の内部インシデントログやフォレンジック報告書を含む要求したすべての文書を受け取らなかった。このことは調査結果を無効にするものではない。これは報告書が異常に詳細であるが、基礎となるフォレンジック記録の完全な公開ではないことを意味する。（カナダ・英国共同調査報告書）

同社のブログ、証券取引委員会への提出書類、規制当局の報告書、裁判所が承認した和解、後の告訴は、異なる質問に答えている。可能な限り相互に裏付け合うべきだが、一つの摩擦のない物語に無理に統合すべきではない。初期の0.1%という推定が後の規制当局による18,222という数字に変わったのは良い例である。これは報告日、証拠の発展、計数方法を反映しており、後の数字が来たというだけで前の数字を虚偽と呼ぶ許可ではない。

2023年4月から10月：時間軸上の攻撃

4月以前：任意保護の機密アカウント

インシデント当時、顧客はメールアドレスとパスワードでサインインできた。アプリケーションベースの多要素認証と Apple または Google のシングルサインオンは利用可能だが任意だった。共同調査では、顧客の約78%が MFA も SSO も使用しておらず、提供されていたアプリケーションベースの MFA を使用していたのはわずか0.2%だったことが判明した。企業情報にアクセスする従業員アカウントには MFA または SSO が義務付けられていたが、顧客アカウントには義務付けられていなかった。

この非対称性は重要である。内部インフラは第二要素を必要とすると扱われたが、消費者アカウントはパスワードのみで健康レポート、祖先結果、関係情報、未加工遺伝子型データを要求する経路を露出し得た。規制当局はまた、23ANDME が顧客向けサービスに対するクレデンシャルスタッフィングのシミュレーションを行っておらず、その攻撃パターンに特化したインシデントプレイブックもなかったことを発見した。同社のペネトレーションテストはバックエンドインフラを重視していた。

任意の MFA は制御がないわけではない。それを有効にした顧客は有意義な保護を受け、規制当局は MFA または Apple/Google SSO を使用していたアカウントは、このキャンペーンでクレデンシャルスタッフィングに成功しなかったと述べている。しかし、オプトインの保護策は、サービスが特に機微なデータとクロスアカウント可視性を集中させることを選択した場合でも、採用リスクをユーザーに負わせる。適切な問いは、設定ページに MFA が存在したかどうかではない。成功したセッションができたことに対して、デフォルトの保証レベルが適切だったかどうかである。

4月29日から5月16日：最初の集中期間

後の規制当局の年表では、キャンペーンは2023年4月29日から9月20日までとされている。5月16日に終了する最初の集中期間中、9,974件のアカウントが成功裏にアクセスされた。クレデンシャルスタッフィングは、1つのアカウントに対するブルートフォース推測とは異なる。攻撃者は、他の侵害やソースから取得したユーザー名とパスワードのペアを試し、一部の人々がそれらを再利用していることを期待する。したがって、監視が各アカウントを個別に調べている場合、正しいログインは通常に見える可能性がある。

経済性は攻撃者に有利である。認証情報のコーパスはサービス間で再利用可能であり、ログイン試行は分散可能で、自動化は低い成功率を実行可能なキャンペーンに変える。サービスはボット制御、異常検知、顧客摩擦、サポートのコストを負担する。攻撃者は、これらのコストを正当化するのに十分な数の成功セッションだけを必要とする。このケースでは、各成功セッションが数千の関連プロフィールへのビューを開く可能性もあり、有効な認証情報あたりの期待リターンはそのアカウントの内容だけよりもはるかに高くなる。

これが事象のアビューズコンタクト経済学である。攻撃者のサービスへの最初の接触はログイン試行だった。成功した接触は持続的なセッションになった。そのセッションは次に、他者の共有プロフィールへの照会チャネルになった。横断しやすく残っていたすべての境界が抽出価値を増大させた：別のログイン、別のマッチページ、別の家系図要求、別のプロフィールデータのバッチ。従って、防御はパスワードチェックだけでなく、シーケンス全体に価格を付ける必要があった。

7月6日：100万回のログインとプラットフォームクラッシュ

規制当局の顧客ログイン記録の分析によれば、7月6日に、コンピュータプログラムが DNA サンプルのない無料アカウントに1日で100万回以上ログインした。この活動は一時的にプラットフォームをクラッシュさせ、プロフィール転送を開始しようとする失敗した試みに関連していた。この事象は運用上大きなものだった。また構造的にも関連していた：プロフィール転送は、遺伝的プロフィールの管理をアカウント間で移動する方法である。

23ANDME は調査し、不正な転送に対する対策を講じたが、この活動をより広範なクレデンシャルスタッフィングキャンペーンと結びつけなかった。プラットフォームクラッシュは自動的に侵害の証拠ではない。可用性インシデントには多くの原因がある。しかし、文脈においては、認証されたワークフローが並外れた量で自動化されているというシグナルだった。規制当局が特定したアカウンタビリティの失敗は、一つのグラフからキャンペーン全体を推論できなかったことではない。それは、この異常をその後に続いた事象と結びつけられなかったことである。

7月28日から30日：約400回の転送試行

7月下旬、アクターは約400のアカウントに関わるプロフィール転送を自動化しようとした。23ANDME は転送要求を無効にし、影響を受けた可能性のあるアカウントを一時的にロックし、それらの顧客にパスワードリセットを要求し、異常な転送量に対するアラートを追加した。内部調査では、米国の19の顧客アカウントの限られた情報がアクセスされたと結論づけられた。

この対応は、企業が認識されたワークフローに対して狭く迅速に行動できることを示している。また、パスワード管理の弱点も露呈した：顧客はアカウントを以前に使用したパスワードにリセットできた。23ANDME は8月にその動作を変更した。しかし、調査はより広範な攻撃が既に数千のアカウントにアクセスしたことを特定しなかった。制御は症状、すなわち転送悪用にスコープされ、その周りのアカウントアクセスとスクレイピングシステムには及ばなかった。

8月10日：いたずらとして却下された主張

23ANDME はその後、顧客ポータルメッセージで、1,000万人以上の顧客のデータ300テラバイトを保有していると主張する個人からメッセージを受け取った。従業員も同じ名前での同様の Reddit の主張に気づいた。セキュリティチームは調査し、その主張をいたずらと分類した。

この数字は攻撃者の主張であり、確認された尺度ではない。そのようにラベル付けされ続けるべきである。後の規制当局は300テラバイトや1,000万人の窃取を検証しなかった。彼らの調査結果は調査の適切性に関するものだった。侵害の主張は同社にとって稀であり、この主張は7月のクラッシュと転送試行の後に届いた。集合的に見て、これらの事象はより深い調査を正当化した。報告書は、8月のより強力な調査が、二度目の集中期間の前にキャンペーンを明らかにできたかもしれないと結論づけた。

この点はアビューズ報告にとって重要である。受信箱には、信じがたい主張、脅迫、研究者の報告、顧客の苦情、ノイズがあふれることがある。すべてのメッセージを真実として扱うことは不可能である。トリアージを最終決定として扱うことも危険である。高重要度のサービスは、主張の新規性、主張者のアーティファクト、同時期の異常、既知の攻撃パスを組み合わせたエスカレーションルールを必要とする。攻撃者が主張を提出するためのコストはほぼゼロかもしれないが、完全なフォレンジック調査のコストはそうではない。いつ十分な独立したシグナルがそのコストの支払いを正当化するかを決定するのがガバナンスである。

9月：二度目の集中期間

アクターは9月に集中クレデンシャルスタッフィングを再開し、さらに4,364件のアカウントを侵害した。キャンペーンを通じて、規制当局は成功ログインと失敗ログインの比率に5月と9月に二つの可視的な歪みを見出した。23ANDME は攻撃を検出できるツールを有していたが、そのパターンでアラートするように設定されていなかった。閾値設定は主に手動であり、同社は疑わしい顧客アクセスをフィンガープリントするために利用可能なデバイス、ブラウザ、ネットワーク情報を使用していなかった。

これは、サービスに監視がなかったと言うよりも正確である。同社は Web アプリケーションファイアウォール、IP ベースのルール、チャレンジ、レート制限、セキュリティオペレーション機能、SIEM ツール、バグバウンティプログラムを有していた。失敗は、制御セットが発生した通りに攻撃をモデル化しなかったことである。分散キャンペーンは単純な IP ごとの制限を回避できる。正しい認証情報は、問題のアカウントにおける失敗ログインのロックアウトを回避できる。ログイン後のスクレイピングは、システムがグラフトラバーサル、クエリ繰り返し、セッション速度、集約関係リーチを測定しない限り、熱心な製品利用に見えるかもしれない。

10月1日から10日：外部発見と最初の封じ込め

10月1日、アクターは盗んだデータを Reddit で宣伝した。23ANDME は10月5日にインシデントが本物であることを確認し、10月6日にプロフィール情報が許可なくアクセスされたと発表した。最初の公的説明では、アクセスは認証情報の再利用に起因し、DNA Relatives プロフィールからの情報が取得された可能性があるとしていた。（23ANDME インシデントおよびアクションプランの更新）

封じ込めは一度の動作では行われなかった。確認から4日後の10月9日、23ANDME はアクティブセッションを無効化した。10月10日に全顧客にメールを送り、グローバルパスワードリセットを要求し、MFA を推奨した。同社は10月15日に ICO に、カナダ当局の要請を受けて10月18日にカナダ規制当局に最初の報告書を提出した。初期の規制当局報告書では全世界の影響人口は1,103,647であったが、10月下旬の補足で5,621,179に引き上げられた。

このシーケンスはセッション制御の重要性を露呈する。パスワードを変更しても、既に認証されたセッションが必ずしも終了するとは限らない。対応計画は、トークンを別途無効化し、他の認証情報をローテーションまたは失効させ、高リスクのエクスポートを停止し、証拠を保全し、下流のビューを特定しなければならない。規制当局は、最高優先度の顧客データ事象が確認された後、すべてのセッションを無効化しリセットを義務付けるのに4日かかったのは長すぎると判断した。

2023年11月から2024年1月：より強力なログイン、より遅い通知

11月2日、23ANDME はセルフサービスの未加工 DNA ダウンロードを無効にした。この機能は2024年2月27日に、追加の生年月日チェック付きで戻った。規制当局は、生年月日は公開情報や他の侵害で存在する可能性があるため、強力な認証要素として疑問を呈したが、この一手だけで十分と扱うのではなく、後日の同社の保護策を全体として評価した。

11月9日、同サービスはアプリケーション MFA または SSO を使用していない顧客に対して、メールベースの二段階認証を義務化した。修正 SEC 提出書類はこの要件を11月初旬とし、新規および既存ユーザーが今後二段階認証を必要とすると確認している。アプリケーションベースの MFA は以前から存在しており、より早期に義務化することもできたが、23ANDME はより低摩擦のメール方式を開発した。規制当局は、これが必要以上に長くアカウントを露出させたと結論づけたが、2024年末までに組み合わされた改善された制御セットが適切であることも認めた。

通知は層状に続いた。DNA Relatives 情報が投稿されたかアクセスが確認された人々は10月に通知を受け取った。一部の家系図のみの明確化は12月に行われた。アカウントが直接乗っ取られた人々は、確認からほぼ3ヶ月後、同社がフォレンジック調査が完了したと述べた1ヶ月以上後の2024年1月にその事実を通知された。共同報告書は、規制当局および個人への通知における欠落を発見した。未加工 DNA の露出可能性、攻撃期間、販売のための情報投稿、一部のアカウント項目などである。

アカウント、プロフィール、人々の計数

本インシデントには、単位と日付を伴わない正直な単一の数字はない。

約0.1%または約14,000アカウント：これは2023年12月初旬の会社による直接クレデンシャルスタッフィングされたアカウントの説明である。パーセンテージは修正8-K に現れた。当時の報道はサービス人口に基づき約14,000と翻訳した。

18,222件の直接アクセスされたアカウント：これは23ANDME が2024年7月にカナダ・英国調査に後日提供した全世界の合計であり、カナダで769、英国で611である。これは規制当局の公的記録におけるより発展した直接アカウント数字である。

5,497,376の DNA Relatives プロフィールと1,468,791の家系図プロフィール：これらは規制当局に報告された後の全世界フィールドグループカウントである。報告書は DNA Relatives と家系図グループは相互排他的であるが、DNA Relatives と祖先レポートの母集団はそうではないと述べている。同社の2024年度フォーム10-K はカテゴリーを約550万の DNA Relatives プロフィールと150万の家系図プロフィールに丸めた。（23ANDME2024 年度フォーム10-K）

全世界で6,984,430人の影響を受けた顧客：23ANDME は2023年12月4日にこの合計をカナダ規制当局に報告し、カナダでは319,635人と報告した。共同報告書は一般に約700万人の影響を受けた顧客と説明している。後の米国集団訴訟では、クラス範囲として約640万人の米国居住者を使用した。

これらの数字は入れ子状で交差する母集団を記述しており、加算するための4つの数字ではない。直接アクセスされたアカウント保有者は DNA Relatives プロフィールも持つことができる。ある人は祖先情報と関係プロフィールの両方を持つことができる。家系図プロフィールはアカウント保有者または家系図に表示された別の人に関するかもしれない。正確さにはスキーマが必要である：個人、アカウント、遺伝プロフィール、関係レコード、家系図ノード、レポート、ダウンロードファイルは異なるオブジェクトである。

未加工 DNA のカウントはさらに限定されている。2024年7月、23ANDME は全世界で18件の未加工 DNA ダウンロードと、49件の未加工 DNA がアクセスまたは閲覧された事例を報告した。規制当局は、元のクラウドプロバイダーログの欠落や設定ミスのあるカスタムログを含むフォレンジック手法の弱点を特定した。2025年4月、さらなる分析の後、23ANDME はアクターに帰属する未加工 DNA ダウンロードの数を全世界で4件、カナダと英国では0件に修正した。規制当局はその修正を独立して検証しなかった。

正しい結論は、700万人分の未加工 DNA がダウンロードされたわけではないということである。記録はそれを支持しない。また、未加工 DNA が一切関与しなかったということでもない。後の会社の立場は4件の帰属ダウンロードであり、一方で規制当局は方法論の不確実性を文書化した。ここがまさに、フォレンジック記事が証拠の境界で停止しなければならない点である。

成功したセッションが明らかにし得たこと

データはアクセス経路によっても分割されなければならない。

直接アクセスされたアカウントの場合、利用可能な項目には、氏名、生年月日、出生時の性別、性自認、メール、国と郵便番号、身長と体重、祖先レポート、健康レポート、自己申告の健康状態、未加工遺伝子型情報が含まれ得る。18,222のアカウントのそれぞれがすべての項目を含んでいたとか、すべての利用可能な項目がダウンロードされたということにはならない。共同報告書は、健康レポートが関与した乗っ取られたアカウントが8,217件、自己申告の健康状態が関与したものが63件という、より具体的な報告された数字を示している。

接続された DNA Relatives プロフィールの場合、露出した素材はより狭いが依然として機微である：氏名または表示名、自己申告の生年と位置、プロフィール画像、人種または民族的起源、予測関係、共有 DNA の割合、マッチングセグメント、オプションの祖先および家系図情報。これが乗数であった。アクターはこれらの記録を、直接アクセスされたアカウントの権限を通じて閲覧した。

家系図プロフィールの場合、記録はリンクされた家系図に表された情報に関するものである。家系図ノードを、一意のサービス顧客や未加工遺伝子記録と安易に同一視すべきではない。本製品は、表されたすべての人が検査済みのアカウント保有者でなくとも、親族や家系を記述できる。

攻撃者の出品の場合、提供や投稿の事実は、販売者が付けたすべてのラベルを検証するものではない。規制当局は、一部のデータが宣伝され、影響を受けた通知がその事実を開示すべきだったと認めた。2026年のカリフォルニア州の告訴は、標的化されたリスト、身代金交渉、製品の脆弱性、会社の声明に関する追加の主張を行っている。これらの主張は深刻だが、公表時点で告訴は起訴状であり、判決ではない。これは州の事案として引用されなければならず、確定した事実に変換されてはならない。（カリフォルニア州司法長官の告訴と発表）

この分離は、影響を受けた人々を二つの誤りから同時に守る：未加工ファイルではなかったからといって不正な祖先と関係の開示を最小化すること、そして完全なゲノムが700万人分取られたという主張に事象を誇張すること。どちらもアカウンタビリティを歪める。

製品設計が比率を可能にした

本製品の目的はつながりだった。DNA Relatives は、顧客に幅広いマッチのセットと家族関係を認識するための十分なコンテキストを表示することによって価値を生み出した。セキュリティ制御は、機能を無効にすることなくすべての共有可視性を単に排除することはできなかった。しかし、一つのセッションがどれだけの権限を蓄積し、どれだけ迅速にその権限を行使できるかを管理することはできた。

少なくとも5つの設計上の問いが続く。

第一に、関係グラフはあらゆるログイン直後に等しく可視化されるべきか？新しいデバイス、異常な場所、最近回復されたアカウントは、ステップアップ認証まで縮小されたビューを受け取ることができる。目的は個人自身の結果を隠すことではない。自己アクセスと他者のプロフィールへのバルクアクセスを区別することである。

第二に、セッションの最大有用リーチは何か？製品は数千のマッチを計算するかもしれないが、それらを機械速度で配信したり、すべてのエンドポイントを通じて同じ項目を露出したりする必要はない。ページネーション、セッションごとのバジェット、段階的開示、目的にバインドされたエクスポートは、通常の発見を使いやすく保ちながら抽出コストを上げることができる。

第三に、どのクエリが関係データを明らかにするか？セキュリティテレメトリは製品を理解すべきである。HTTP リクエストを数えることは、閲覧された一意のプロフィール、家系図の拡張、祖先レポートの取得、共有セグメントのクエリ、多くのアカウントにわたる反復的なトラバーサルを測定するよりも弱い。攻撃は、正常な関係利用パターンをすべて逸脱しながら、一般的なリクエスト閾値の下にとどまることができる。

第四に、閲覧者のアカウントが侵害された後、どの同意が適用されるか？ある人はサービスを利用する遺伝的親族と共有することを選択したのであり、親族のパスワードを提示できる誰かと共有することを選択したのではない。同意は閲覧者を認証できない。プラットフォームは、共有の選択が有意義であり続ける条件を強制しなければならない。

第五に、つながっている人は露出経路を見たり取り消したりできるか？アカウントイベント履歴は直接アクセスされた顧客を助けるが、他者のセッションを通じてプロフィールが閲覧された親族は、自身の自然なセッションログを持たない。したがって、サービスはグラフを意識したインシデント分析と通知を必要とする。どのアカウントが侵入されたかだけでなく、各敵対的セッションがどの他者のプロフィールに到達したかに答えられなければならない。

ここでデータ最小化が運用上の制御になる。デフォルトの関係ビューからオプションの位置、生年、姓を削除することで、マッチングを廃止することなく結果を減らすことができる。プロフィール発見を詳細な祖先レポートから分離することで、ステップアップ境界を作成できる。古いまたは非アクティブなプロフィールを制限することで、保持されたリーチを減らすことができる。これらは製品の選択であり、パスワードの説教ではない。

MFA デフォルトとパスワードに対する共有義務

顧客はパスワードを再利用すべきではない。再利用は、あるサービスでの侵害を別のサービスへの鍵に変え、それを使用する責任は攻撃者に残る。しかし、顧客の過失がプラットフォームの責任を尽くすわけではない。サービスは、認証情報の再利用が標準的な脅威モデルとなるほど一般的であることを知っている。米国連邦取引委員会は2017年に、機微なアカウントを保護する企業は、攻撃者が大規模に盗まれた認証情報を自動化するため、認証技術を組み合わせるべきだと警告した。（安全なパスワードと認証に関する FTC ガイダンス）

23ANDME の責任はセッションリーチによって高まっていた。直接アクセスされた顧客は再利用によって自身のアカウントをリスクにさらしたが、その顧客が最大何千ものマッチを露出するように製品を設定したわけではない。接続された親族は、侵害されたパスワードを全く選択しなかった。より強力な認証をサービス全体で義務化できる唯一のアクターは、企業であった。

規制当局は3つの予防的ギャップを特定した：強制的な MFA、侵害パスワードチェック、最小パスワード強度である。パスワードスクリーニングに関する記録は内部で一貫していなかった。ある回答は、同社が侵害データセットに対してチェックしていないと述べ、別のインタビューでは2021年のデータセットからの20,000の頻繁に繰り返されるパスワードに対してチェックしていると述べた。どちらのバージョンも、広範なコーパスに対する継続的なスクリーニングよりはるかに狭かった。

現在の技術ガイダンスは層状の制御を支持している。NIST SP 800-63B は、将来のパスワードを一般的、予想される、または侵害された値に対してチェックし、効果的なレート制限を行うことを求めている。また、パスワードはフィッシング耐性がないとも明言している。（NIST SP 800-63B）OWASP のクレデンシャルスタッフィング防止ガイダンスは、文脈的 MFA、デバイスおよび接続シグナル、流出パスワードの識別、ユーザーイベントの可視性、防御全体のメトリクスを追加している。（OWASP クレデンシャルスタッフィング防止チートシート）これらはベンチマークであり、ある制御がすべてのテクニックを阻止したであろうという証明ではない。

強制的なメール二段階認証はパスワードのみのログインに対する有意義な改善だったが、可能な限り最強の要素ではない。メールアカウントが同じ侵害されたパスワードを共有している場合、攻撃者は両方に到達できる可能性がある。アプリケーション認証器とフィッシング耐性のある方法は、より強力な分離を提供できる。成熟した設計は、広くアクセス可能な強制的ベースラインをより強力なオプション、リスクベースのステップアップ、強化された回復と組み合わせることができる。機能が存在することを発表するだけでなく、採用とバイパス経路を測定すべきである。

スクレイピングは認証が成功したときのセキュリティイベントである

クレデンシャルスタッフィングは総試行に対してたまにしか成功しなかったが、その後のスクレイピングがそれらの成功を価値あるものにした。これにより、検知はログインの問題からセッション行動の問題に変わる。

規制当局は、数千のアカウントがアクセスされたにもかかわらず、5ヶ月間アラートがなかったことを発見した。彼らは、成功ログインと失敗ログインの比率から5月と9月の攻撃期間を特定できた。また、23ANDME がフィンガープリントに必要なデバイス、ブラウザ、ネットワークデータを保持していたが、その目的には使用しておらず、他の制御とプライバシー上の懸念を挙げていたことも発見した。

このトレードオフは注意を要する。デバイスフィンガープリントは、制限なく収集されたり広告のために転用されたりすると、侵襲的な追跡になり得る。答えは、セキュリティの名の下の無制限な監視ではない。それは目的の限定である：必要な最小限のシグナルを収集し、保持を定義し、不正テレメトリをマーケティングから隔離し、透明性を提供し、アクセスを制限し、有効性をテストする。制御のプライバシーコストは設計レビューに含まれるべきであり、何百万もの接続されたプロフィールがスクレイピング可能なままになっていることのプライバシーコストも同様である。

サービスは集約制御も必要とする。単一の IP アドレスだけが有用な単位ではない。防御者は、認証情報ソースごと、デバイスファミリーごと、ネットワークブロックごと、自動化フィンガープリントごと、セッションクラスタごと、プロフィールビューパターンごとの試行を評価できる。閲覧された一意の親族のバジェットを設定し、均一なトラバーサルを検出し、ナビゲーションタイミングを人間の行動と比較し、危険なエクスポートにチャレンジすることができる。目的は完全なボット検出を主張することではない。抽出をより遅く、より騒がしく、より高価にし、アナリストが行動に移せる証拠を生成することである。

アビューズコンタクト経済学は応答チャネルにも適用される。セキュリティチームは、顧客や研究者が疑わしい行動を報告するための低摩擦な方法を必要とするが、安価なチャネルはすべてノイズを引き寄せる。トリアージはアーティファクトを保存し、報告をテレメトリにリンクし、組み合わされたシグナルに基づいてエスカレーションすべきである。2023年8月のメッセージは、なぜ主張の却下が記録の終わりであってはならないかを示している。プラットフォームが自動化の下で既にクラッシュし、何百もの疑わしい転送試行を見た後では、誤った量の主張でさえ、実際の活動クラスを指し示すことができる。

通知はアカウントではなく人々を追跡しなければならなかった

同社は、分析の進展に伴い2023年10月から2024年1月の間に異なるグループに通知した。これは原則として理解できる。インシデントの範囲は変化し、時期尚早の確信はミスリードし得る。規制上の調査結果はより具体的だった。10月の接続プロフィール主体への通知は、一部の情報が販売のために投稿されたことを伝えていなかった。直接アクセスされたアカウント保有者への通知はより遅く到着し、すべてのアカウント設定項目や4月から9月の攻撃期間を一貫して説明していなかった。初期の規制当局報告書は、乗っ取られたアカウントの未加工 DNA、健康レポート、祖先レポートが影響を受けた可能性を省略していた。

通知の設計は製品のデータモデルを継承した。対応システムが侵害されたアカウント ID のリストから始まれば、当然最初にアカウント保有者に連絡する。しかし、最大の影響を受けたグループは、他者のアカウントを通じてプロフィールが到達された人々で構成されていた。グラフを意識した侵害プロセスは露出台帳を必要とする：敵対的セッション、ソースアカウント、閲覧されたエンドポイント、接続プロフィール、利用可能な項目、取得された項目、時間、法域、通知ステータス。

この台帳は過剰通知も防ぐ。表示名と共有 DNA の割合が閲覧された人は、そう伝える通知を受け取るべきであり、未加工遺伝子型ファイルがダウンロードされたことを示唆するような一般的な警告ではない。健康レポートアクセスを持つ直接アクセスされたアカウント保有者は異なるメッセージを必要とする。アカウント保有者でない家系図対象者は、再び異なる法的かつ実際的な経路を必要とするかもしれない。

共同報告書は、侵害がカナダの PIPEDA と英国 GDPR の両方の下で通知閾値を超えたと判断した。また、これらの制度の下での遅延と内容の欠陥も発見した。カナダコミッショナーは改善された保護策がセキュリティ管理の問題を解決したと扱ったが、英国規制当局は155,592人の英国ユーザーに関わる失敗と2024年末まで継続する違反に対して231万ポンドの制裁金を課した。（英国 ICO 23ANDME 執行記録）制裁金は侵害のためのグローバルな代償ではない。それは一つの当局の権限、人口、法的分析を反映している。

データのローカリティはサーバーの場所以上である

このインシデントは3つの異なるローカリティを示している。

ストレージのローカリティは、個人情報、サンプル、ログ、バックアップが物理的または契約上どこに保持されるかを問う。これは転送メカニズム、政府アクセス、ベンダーリスク、顧客の期待にとって重要である。しかし、レビューされた証拠は、同じ製品を変更せずに別の国のサーバーに移動することで、有効な再利用された認証情報が同じプロフィールを開くのを阻止できたことを示していない。

アクセスのローカリティは、権限がどこで強制されるかを問う。このケースでは、決定的な境界は論理的だった。成功した顧客セッションは接続プロフィールに到達できた。より強力な認証、セッションリスク、クエリ制限、プロフィールレベルの認可は、たとえすべてのバイトが同じ施設に留まっても、そのローカリティを変えたであろう。

法的ローカリティは、どの法律と規制当局が個人、管理者、処理、転送に結びつくかを問う。カナダと英国の当局は、カナダと英国の居住者が影響を受け、それぞれの法律が適用されたため、米国企業を共同調査することができた。彼らの報告書は別々の国別カウント、別々の通知義務、別々の結論を示している。調整は重複する事実調査を減らしたが、PIPEDA と UK GDPR を一つの法律に統合したわけではない。

同社の現在のプライバシーステートメントは、遺伝情報、サンプル情報、自己申告情報、アカウントデータ、共有の選択を区別し、地域固有の権利と連絡先を提供している。また、アカウント削除は研究のオプトアウトとサンプルの廃棄をトリガーし、記載された制限が適用されることも述べている。現在のポリシーは現在のコミットメントを評価するのに有用だが、すべての顧客が2023年に理解したことの証明でも、歴史的な制御が約束通りに運用されたことの証明でもない。（23ANDME 現在のプライバシーステートメント）

破産は法的ローカリティを具体的にした。23ANDME Holding Co.と子会社は2025年3月に Chapter 11の申請を行った。FTC 委員長は、機微な遺伝、サンプル、健康、関係情報の売却または譲渡は、プライバシー、選択、削除に関する約束を尊重しなければならないと米国管財人に警告した。（23ANDME 破産に関する FTC 書簡）カナダと英国の規制当局は、それぞれの法域の人々に対する義務について米国当局に別途書簡を送った。（カナダ・英国共同破産プライバシー書簡）

2025年7月、裁判所が承認した実質的にすべての事業資産の売却が、後に23ANDME Research Institute と呼ばれる TTAM Research Institute に対して3億500万ドルで完了した。購入者は、既存のプライバシー選択、削除、研究オプトアウトを尊重すること、将来の特定の譲渡をポリシーを採用する適格な国内組織に制限すること、プライバシー諮問委員会を設置すること、プライバシー手続きについて報告することを約束した。SEC 提出書類は完了を確認し、資産購入資料は保護策を説明している。（23ANDME 売却完了フォーム8-K）

これらの条件は、データガバナンスが所有権変更を通じて制限のない資産として移動するのではなく、義務として存続し得ることを示している。これらは地理を完全な保護策にするわけではなく、個別の同意が譲渡に法的に必要だったかどうかをめぐる紛争を消し去るわけでもない。州司法長官は提案された売却に異議を唱え、顧客は削除とサンプル破棄のオプションを再通知され、取引はそれでも裁判所の権限と交渉された条件の下で完了した。教訓は、破産が自動的にプライバシーの約束を取り消すわけではなく、プライバシーポリシーがあらゆる債権者と州法の質問を解決できるわけではないということである。スチュワードシップ条件、削除機能、法域固有の権利は、証拠と人員がより強力な窮乏の前に設計される必要がある。

コストは異なるものを測定する

23ANDME は2024年度のインシデント費用を460万ドルと報告し、そのうち280万ドルの保険回収見込みと相殺し、主に技術コンサルティング、法務業務、その他のアドバイザー向けだった。これらは企業の対応コストであり、顧客被害の評価ではない。

民間訴訟は別の数字のセットを生み出した。提案された米国集団訴訟の和解は、3,000万ドルの非復帰基金から始まり、破産手続きに移行した。最終的な構造は、少なくとも3,000万ドル、最大5,000万ドルの基金、適格請求のための現金カテゴリ、5年間のプライバシー、医療、遺伝子モニタリングを提供した。破産裁判所は2026年1月30日に最終承認を与えた。公式和解サイトは、クラスが約640万人の米国居住者に関わり、現金請求期限が過ぎ、分配が破産整理を待っていると述べている。（23ANDME データ和解公式サイト）

この和解は、その条件に従って個人の請求を解決し、対象請求を免除する。これは、すべての申し立てられた主張が真実であったという裁判所の認定ではなく、和解金は請求者が特定の遺伝的誤用を被った証拠でもない。モニタリングのラベルは、露出を逆転させる技術的能力と誤解されるべきではない。それは定義されたサービスベネフィットとリスクサポートメカニズムである。

2025年度のフォーム10-K は、集団、仲裁、州裁判所の和解にわたる当時の総コミットメントとして3,750万ドルを、訴訟および規制エクスポージャーとともに説明した。その提出書類は最終的な破産調整と承認より前のものであるため、後の裁判所管理の基金説明に置き換えるべきではない。しかし、一つのインシデントの周りに複数の紛争チャネルがどのように蓄積したかの証拠としては依然として有用である。（23ANDME2025 年度フォーム10-K）

英国の制裁金は、定義された法域と期間に対する公法違反を測定している。2026年のカリフォルニア州の告訴は、遺伝情報プライバシー法、カリフォルニア州消費者プライバシー法、合理的セキュリティ法、消費者保護法の下での失敗を主張する別の公的執行措置である。また、2025年の共同報告書を超える事実も主張している。これらは、認められるか証明されない限り、主張のままである。民間の和解、規制制裁金、保険回収、破産売却収入は別々の欄に属し、それらを一つの「侵害コスト」に加算すると、財務的に整っているが法的に無意味な合計を生み出すだろう。

改善措置はテスト可能なほど具体的になった

2024年12月31日までに、23ANDME はカナダ・英国の調査官に、より広範な制御セットを実施したと伝えた。規制当局は、これらの措置を、彼らが特定した保護策の懸念を解決するのに集合的に十分であると受け入れ、英国規制当局は、同社がその時点から関連するセキュリティ要件を満たしていると扱った。これは有意義で好意的な調査結果であるが、境界がある。それは所有権と組織変更後の永続的な有効性を認証するものではない。

報告された変更には、12文字の最小パスワード長、登録・ログイン・リセット時の非常に大規模な侵害パスワードコーパスに対するチェック、強制的なメール二段階認証、未加工データと健康データのダウンロードに関する保護策、未加工 DNA 配信前の48時間の遅延、シミュレートされたクレデンシャルスタッフィング演習、改訂された監視、253以上の新しい SIEM アラート、行動ベースのセッション監視、ダークウェブ監視、信頼済みブラウザ機能、ダウンロード可能なアカウントイベント履歴が含まれていた。製品、セキュリティ、エンジニアリングのガバナンスも強化された。

制御の一覧は制御の成果と同じではない。有用な次のステップは、悪用可能な詳細を要求することなく証拠を求めることである。

48時間の遅延は、安全な通知とキャンセルと組み合わせることで良い摩擦を示している。それは敵対的セッションから即時の抽出を奪い、正規のユーザーに反応する時間を与える。しかし、信頼できる連絡チャネルなしの遅延は損失を延期するだけである。生年月日チェックは、すでに他所で可視化されている情報に依存しながら儀式を追加するかもしれない。制御は連鎖として評価されるべきである。

同じことが強制的なメール2SV にも当てはまる。これは、23ANDME のパスワードのみが利用可能な場合に、このキャンペーンの単純なバージョンをブロックする可能性が高い。メールアカウントも侵害されている場合にはより弱い。より強力な要素は、すべてのユーザーに推奨され、特に重要なアクションには要求されるべきである。プラットフォームは、サポートインタラクションが最も簡単なバイパスにならないようにしながら、要素を失った人々の回復経路を維持すべきである。

誰が何を管理していたか

脅威アクターは、盗まれた認証情報をテストし、アカウントに侵入し、製品機能を自動化し、プロフィールをスクレイピングし、情報を投稿または提供する決定を管理していた。犯罪意図は、管理策が弱かったからといって会社に転嫁されない。

認証情報を再利用した顧客は、サービス間でのパスワード選択を管理しており、一意のパスワードと利用可能な MFA を使用すべきだった。彼らの責任は実在するが限定的である。彼らは監視、機能認可、セッション無効化、または自分のアカウントを通じて可視化される親族の数を管理していなかった。

接続された親族とプロフィール主体は、一部の共有選択とオプション項目を管理していた。彼らは、マッチしたすべてのアカウントのセキュリティや、パスワードのみのログイン後に広範な可視性を許可するプラットフォームの決定を管理していなかった。機能にオプトインすることは、敵対的な自動化への同意ではない。

23ANDMEは、顧客認証のベースライン、パスワードスクリーニング、セッションとエクスポートの設計、マッチ可視性、テレメトリ、インシデントトリアージ、応答タイミング、データマッピング、通知を管理していた。また、感度モデルを選択し、従業員アカウントの保護と顧客アカウントの保護を比較できた。これが、再利用された認証情報を発信しなかったにもかかわらず、実際的なアカウンタビリティが最も重くサービスに課せられる理由である。

規制当局と裁判所は、特定の法律と手続きの中で救済策を管理した。カナダと英国のコミッショナーは、自国の居住者に対する保護策と通知について調査結果を出すことができた。英国当局は制裁金を課すことができた。破産裁判所は売却と和解条件を承認できた。カリフォルニア州は州の事案を申し立てることができる。いずれも、すべての顧客やすべての質問に対する普遍的な管轄権を持つわけではない。

後継機関は、資産売却後に運営サービスと継承されたスチュワードシップコミットメントを管理している。Chrome Holding Co.と改名された元の公開持株会社は、破産分配と訴訟に関連し続けている。明確な命名が重要である。なぜなら、顧客はどのエンティティが製品を運営し、どのエンティティがデータを保持し、どのエンティティが和解義務を負い、どのエンティティが削除要求を受け取るべきかを知る必要があるからである。

依然として不明なこと

公的記録には、完全なフォレンジック報告書、すべてのインシデントログ、完全な敵対的インフラ、正確な認証情報ソース、すべてのエンドポイントコード、完全なクエリ履歴は含まれていない。規制当局は、要求された資料の欠落と未加工ダウンロードのロギングの弱点を明示的に指摘した。確信を持った説明はこれらのギャップを保持しなければならない。

23ANDME 自身の認証情報ストアが侵害されたことは立証されていない。同社は一貫して、ユーザー名とパスワードのペアを提供した兆候は発見しなかったと述べ、規制当局は他のインシデントで盗まれた認証情報を使用したクレデンシャルスタッフィングキャンペーンと説明した。

約700万の未加工遺伝子型ファイルや健康レポートがダウンロードされたことは立証されていない。最大の母集団は DNA Relatives、祖先情報、家系図情報に関するものである。直接アカウントの項目と未加工データの事象は、より小さく、別々にカウントされたカテゴリーである。

すべての攻撃者の宣伝が正確であること、特定のイデオロギー的動機が記録の選択やマーケティングを駆動したこと、あるいは主張されたすべての記録が一意であったことは立証されていない。情報が機微な祖先カテゴリーを使用してマーケティングされたという事実は、通知とリスク評価にとって重要である。動機と下流の使用には依然として証拠が必要である。

レビューされた資料では、特定の人物がこの事象のために雇用差別、保険拒否、医療傷害、法執行の標的化、または個人情報盗難を受けたことは立証されていない。これらは遺伝および身元データに関する考え得る懸念事項であるが、可能性は認定ではない。

また、改善措置が無期限に有効であり続けることも立証されていない。規制当局は2024年末までに組み合わされた措置を受け入れた。破産、労働力の変化、新しい機関への譲渡は、継続的な保証を特に重要にする。あるレビューを通過した制御は、構成変更、予算圧力、新しい製品経路によって劣化し得る。

アカウンタビリティは他人のアカウントの端から始まる

インシデントは有効な認証情報から始まった。それが大量露出になったのは、サービスがそれらの認証情報に、直接アクセスされた人物自身の記録よりも多くの権限を付けたからである。それが、23ANDME を超えて持ち運ぶ価値のあるアカウンタビリティのレンズである。

世帯、チーム、患者、学生、家系図、ソーシャルグラフを中心に構築されたあらゆるプラットフォームは、ある人物を別の人物のセッションを通じて露出させ得る。したがって、正しい分母は侵害されたアカウントではない。それは侵害された権限から到達可能な人々と記録である。正しい制御は単により強力なログインではない。それは、より強力なログインと、制限されたセッションリーチ、製品を認識したスクレイピング検出、信頼できるエクスポート証拠、迅速な封じ込め、人物レベルの通知の組み合わせである。

データ主権も同じ論理に従う。国内サーバーは、リモートセッションがグローバルな関係グラフをトラバースできる場合、ローカル制御を生み出さない。プライバシーポリシーは、削除、同意、譲渡義務が売却中に消える場合、選択を維持しない。法的管轄権はシステムアーキテクチャにきれいにマッピングされないため、サービスは居住性、権利、通知状態をデータと共に運ばなければならない。

最も防御可能な結論は、最も騒々しい侵害の見出しよりも狭く、企業の最初の説明よりも要求が厳しい。パスワードの再利用が扉を開けた。製品設計がそれを広げた。監視は繰り返しの通過を認識できなかった。対応と通知は、異なる時点で異なる部分を閉じた。その後の管理策、規制当局の調査結果、裁判所の条件は、測定可能なアカウンタビリティの記録を作成した。残された義務は、ある人のアカウントがもはや何千もの他の人生への安価な抽出経路になり得ないことを継続的に証明することである。