23andMe e a violação de credential stuffing que transformou parentes em superfície de exposição

Sumário

• O acesso confirmado foi em camadas:A 23andMe divulgou inicialmente que cerca de 0,1% das contas de usuários, comumente descritas na época como aproximadamente 14.000, foram acessadas com credenciais reutilizadas de outros serviços. A investigação conjunta Canadá-Reino Unido posterior relatou 18.222 contas acessadas diretamente em todo o mundo. Através dessas sessões, o invasor coletou informações de Parentes de DNA e Árvore Genealógica pertencentes a quase sete milhões de clientes.
• Parentes alteraram o raio de explosão:Um cliente que optou pelo Parentes de DNA tornava informações selecionadas de perfil, ancestralidade e relacionamento visíveis para correspondências. O invasor, portanto, não precisava que cada pessoa afetada reutilizasse uma senha. O produto converteu um pequeno conjunto de logins válidos em autoridade para visualizar um grafo de relacionamento muito maior.
• A detecção e a resposta falharam em vários pontos:Os reguladores identificaram períodos intensos de credential stuffing, uma queda da plataforma em julho causada por mais de um milhão de logins em uma conta, centenas de tentativas de transferência de perfil e uma alegação em agosto de um grande roubo. A campanha ampla não foi confirmada até que dados roubados foram anunciados em outubro de 2023. A verificação em duas etapas obrigatória, a redefinição global de senhas e controles mais rígidos de download de DNA bruto foram implementados posteriormente.
• A responsabilidade é dividida, mas não uniformemente:O invasor é responsável pelo acesso não autorizado, coleta e publicação. Os clientes que reutilizaram senhas criaram uma rota inicial. A 23andMe controlou sozinha os padrões de autenticação, a triagem de senhas comprometidas, a autoridade da sessão, os limites de consulta de relacionamento, a telemetria, a resposta e a notificação. As conclusões regulatórias posteriores, uma multa do Reino Unido, o acordo coletivo, as proteções da venda por falência e um caso de execução ainda contestado na Califórnia medem diferentes questões legais; nenhum apoia alegações de uso indevido genético downstream específico sem evidências.

Uma senha, muitas pessoas

Uma contagem convencional de takeover de contas pergunta quantas contas um invasor entrou. Isso é necessário aqui, mas radicalmente incompleto. O Parentes de DNA foi construído para mostrar a um cliente participante um conjunto de correspondências genéticas. Dependendo do nível de assinatura, disse a investigação conjunta, uma conta habilitada podia ver 1.500 ou 5.000 perfis de Parentes de DNA. Uma correspondência podia expor um nome de exibição, relacionamento previsto, porcentagem de DNA compartilhado e campos opcionais de ancestralidade, localização, ano de nascimento, fotografia, nome de família e árvore genealógica. A descrição atual da 23andMe ainda torna claro o modelo de compartilhamento subjacente: os participantes escolhem aparecer para correspondências genéticas e os detalhes selecionados tornam-se visíveis dentro desse contexto de relacionamento. (Configurações de privacidade e exibição do DNA Relatives da 23andMe)

Isso não era o mesmo que publicar um perfil na web aberta. A visibilidade era condicionada a uma conta autenticada da 23andMe, participação no recurso e um relacionamento de correspondência genética calculado pelo serviço. Mas o compartilhamento condicional ainda pode criar uma superfície de autorização ampla. Uma vez que um invasor se passava com sucesso por um cliente participante, o serviço tratava a sessão como com direito a ver informações fornecidas por outras pessoas. Essas outras pessoas podem ter usado senhas únicas e autenticação mais forte.

Sua segurança, no entanto, dependia em parte da conta mais fraca conectada e dos controles limitando o que essa conta podia recuperar.

Este é o problema do perfil compartilhado. O titular da conta comprometida e o sujeito dos dados expostos são frequentemente pessoas diferentes. Um controla a credencial; outro forneceu o perfil visível; a plataforma define o relacionamento e concede acesso. Uma análise que atribui o evento inteiramente à reutilização de senhas colapsa esses papéis. Também perde a decisão de produto que multiplicou o valor de cada login bem-sucedido.

A distinção é especialmente importante em um serviço genético porque a informação de relacionamento é inerentemente relacional. Uma porcentagem de DNA compartilhado descreve uma conexão entre pelo menos duas pessoas. Uma árvore genealógica pode incluir pessoas que nunca abriram uma conta. Um relacionamento previsto é gerado a partir de dados comparativos, não possuído em um sentido operacional por apenas um lado. O consentimento de um cliente para participar de um recurso de correspondência não dá a esse cliente controle técnico sobre como a sessão comprometida de outro cliente é detectada ou limitada.

Nada disso prova um dano genético específico. O registro revisado não estabelece que um empregador, seguradora, órgão governamental ou tomador de decisão médica usou as informações expostas contra uma pessoa afetada. Ele estabelece acesso não autorizado a conta, coleta automatizada, postagem ou oferta online de algumas informações e exposição de campos de perfil e conta definidos. A responsabilidade deve basear-se nesses eventos demonstrados e nos riscos que os reguladores foram legalmente obrigados a avaliar, não em histórias downstream inventadas.

As evidências têm quatro caixas diferentes

O registro público tornou-se mais detalhado ao longo de dois anos, e os rótulos importam. Quatro categorias de evidência não devem ser misturadas.

O Formulário 8-K alterado de dezembro de 2023 da 23andMe é um relato primário da empresa. Ele disse que um ator de ameaça acessou 0,1% das contas de usuários onde o nome de usuário e a senha da 23andMe correspondiam a credenciais previamente comprometidas ou de outra forma disponíveis em outro lugar. Também disse que o ator usou essas contas para acessar arquivos contendo informações de perfil de ancestralidade que outros usuários haviam escolhido compartilhar através do Parentes de DNA, e postou algumas informações online. A empresa disse que não tinha indicação de que era a fonte das credenciais. (23andMe amended Form 8-K)

O relatório conjunto de junho de 2025 do Escritório do Comissário de Privacidade do Canadá e do Gabinete do Comissário de Informação do Reino Unido é a reconstrução pública consolidada mais forte. Ele se baseou em submissões da empresa, entrevistas com funcionários, material de fonte aberta e análise regulatória. Também registra um limite material: os reguladores não receberam todos os documentos solicitados, incluindo certos registros internos de incidentes e o relatório forense, porque a 23andMe alegou privilégio legal. Isso não anula as conclusões. Significa que o relatório é excepcionalmente detalhado, mas não uma liberação completa do registro forense subjacente. (Canada-UK joint investigation report)

O blog da empresa, arquivos de valores mobiliários, relatório regulatório, acordo aprovado pelo tribunal e reclamação posterior respondem a diferentes perguntas. Eles devem corroborar-se mutuamente quando possível, mas não devem ser forçados a uma narrativa sem atrito. A mudança de uma estimativa inicial de 0,1% para o número posterior de 18.222 contas dos reguladores é um bom exemplo: reflete a data do relatório, o desenvolvimento de evidências e o método de contagem. Não é permissão para chamar um número de mentira simplesmente porque o outro veio depois.

De abril a outubro de 2023: o ataque no tempo

Antes de abril: contas sensíveis com proteção opcional

Na época do incidente, os clientes podiam fazer login com um endereço de e-mail e senha. A autenticação multifator baseada em aplicativo e o login único da Apple ou Google estavam disponíveis, mas eram opcionais. A investigação conjunta descobriu que aproximadamente 78% dos clientes não usavam MFA nem SSO; apenas 0,2% usavam o MFA baseado em aplicativo oferecido. As contas de funcionários que acessavam informações da empresa tinham MFA ou SSO obrigatórios, enquanto as contas de clientes não tinham.

Essa assimetria importa. A infraestrutura interna era tratada como exigindo um segundo fator, mas uma conta de consumidor podia expor relatórios de saúde, resultados de ancestralidade, informações de relacionamento e uma rota para solicitar dados genotípicos brutos apenas com uma senha. Os reguladores também descobriram que a 23andMe não havia simulado credential stuffing contra o serviço voltado para o cliente e não tinha um manual de incidentes específico para esse padrão de ataque. Seus testes de penetração enfatizavam a infraestrutura de back-end.

MFA opcional não é nenhum controle. Os clientes que o ativaram receberam proteção significativa, e os reguladores disseram que nenhuma das contas que usavam MFA ou SSO da Apple ou Google foi vítima de credential stuffing com sucesso nesta campanha. Mas uma salvaguarda opt-in coloca o risco de adoção no usuário, mesmo onde o serviço escolheu concentrar dados excepcionalmente sensíveis e visibilidade entre contas. A pergunta apropriada não é se o MFA existia em uma página de configurações. É se o nível de garantia padrão correspondia ao que uma sessão bem-sucedida podia fazer.

29 de abril a 16 de maio: o primeiro período intenso

A cronologia regulatória posterior data a campanha de 29 de abril a 20 de setembro de 2023. Durante o primeiro período intenso, terminando em 16 de maio, 9.974 contas foram acessadas com sucesso. Credential stuffing difere de adivinhação de força bruta contra uma conta: o invasor tenta pares de nome de usuário e senha obtidos de outras violações ou fontes, esperando que algumas pessoas os tenham reutilizado. Um login correto pode, portanto, parecer comum se o monitoramento examinar cada conta isoladamente.

A economia favorece o invasor. Corpora de credenciais são reutilizáveis entre serviços, as tentativas de login podem ser distribuídas e a automação transforma uma baixa taxa de sucesso em uma campanha viável. O serviço arca com os custos de controles de bot, detecção de anomalias, atrito do cliente e suporte. O invasor precisa apenas de sessões bem-sucedidas suficientes para justificar esses custos. Neste caso, cada sessão bem-sucedida também podia abrir uma visão para milhares de perfis relacionados, tornando o retorno esperado por credencial válida muito maior do que o conteúdo dessa conta sozinha.

Esta é a economia de contato de abuso do evento. O primeiro contato do invasor com o serviço foi uma tentativa de login. Um contato bem-sucedido tornou-se uma sessão durável. A sessão então tornou-se um canal de consulta para os perfis compartilhados de outras pessoas. Cada limite que permanecia barato de atravessar aumentava o valor da extração: outro login, outra página de correspondência, outra solicitação de árvore genealógica, outro lote de dados de perfil. As defesas, portanto, tinham que precificar toda a sequência, não apenas a verificação de senha.

6 de julho: um milhão de logins e uma queda da plataforma

Em 6 de julho, de acordo com a análise dos reguladores dos registros de login de clientes, um programa de computador fez login em uma conta gratuita sem amostra de DNA mais de um milhão de vezes em um dia. A atividade derrubou temporariamente a plataforma e foi associada a uma tentativa frustrada de iniciar transferências de perfil. O evento foi operacionalmente ruidoso. Também foi estruturalmente relevante: a transferência de perfil é uma forma de mover a gestão de um perfil genético entre contas.

A 23andMe investigou e tomou medidas contra transferências não autorizadas, mas não conectou a atividade à campanha mais ampla de credential stuffing. Uma queda da plataforma não é automaticamente evidência de uma violação; incidentes de disponibilidade podem ter muitas causas. No entanto, no contexto, era um sinal de que um fluxo de trabalho autenticado estava sendo automatizado em volume excepcional. A falha de responsabilidade identificada pelos reguladores não foi a de inferir toda a campanha a partir de um gráfico. Foi a de não combinar essa anomalia com os eventos que se seguiram.

28 a 30 de julho: cerca de 400 transferências tentadas

No final de julho, o ator tentou automatizar transferências de perfil envolvendo aproximadamente 400 contas. A 23andMe desativou as solicitações de transferência, bloqueou temporariamente as contas potencialmente afetadas, exigiu redefinições de senha para esses clientes e adicionou um alerta para volume anormal de transferência. Sua investigação interna concluiu que informações limitadas em 19 contas de clientes dos EUA foram acessadas.

Essa resposta mostra que a empresa podia agir de forma restrita e rápida em torno de um fluxo de trabalho reconhecido. Também expôs uma fraqueza no controle de senhas: um cliente podia redefinir uma conta para uma senha usada anteriormente. A 23andMe mudou esse comportamento em agosto. Mas a investigação não identificou que um ataque mais amplo já havia acessado milhares de contas. O controle foi escopo ao sintoma: abuso de transferência, não o sistema de acesso a conta e scraping ao redor dele.

10 de agosto: uma alegação descartada como hoax

A 23andMe então recebeu mensagens no portal do cliente de um indivíduo alegando ter dados de mais de 10 milhões de clientes totalizando 300 terabytes. Um funcionário também notou uma alegação semelhante no Reddit sob o mesmo nome. A equipe de segurança investigou e categorizou a alegação como um hoax.

O número é uma alegação do invasor, não uma medida confirmada, e deve permanecer rotulado dessa forma. Os reguladores posteriores não validaram 300 terabytes ou um roubo de 10 milhões de clientes. Sua conclusão foi sobre a adequação da investigação: alegações de violação eram raras para a empresa, e essa alegação chegou após a queda de julho e as tentativas de transferência. Vistos coletivamente, esses eventos justificavam uma investigação mais aprofundada. O relatório concluiu que uma investigação mais robusta em agosto poderia ter revelado a campanha antes do segundo período intenso.

Este ponto é importante para denúncias de abuso. Uma caixa de entrada pode ser inundada com alegações implausíveis, extorsão, relatórios de pesquisadores, reclamações de clientes e ruído. Tratar toda mensagem como verdadeira é impossível. Tratar a triagem como a decisão final também é perigoso. Serviços de alto risco precisam de uma regra de escalonamento que combine novidade da alegação, artefatos do reclamante, anomalias contemporâneas e caminhos de ataque conhecidos. O custo imposto a um abusador para enviar uma alegação pode ser quase zero; o custo de uma investigação forense completa não é.

A governança determina quando sinais independentes suficientes justificam pagar esse custo.

Setembro: o segundo período intenso

O ator retomou o credential stuffing intenso em setembro e comprometeu mais 4.364 contas. Ao longo da campanha, os reguladores encontraram duas distorções visíveis na proporção de logins bem-sucedidos para falhos, em maio e setembro. A 23andMe tinha ferramentas capazes de detectar o ataque, mas elas não foram configuradas para alertar sobre o padrão. A definição de limites era amplamente manual, e a empresa não usava informações disponíveis de dispositivo, navegador e rede para identificar acesso suspeito de clientes.

Isso é mais preciso do que dizer que o serviço não tinha monitoramento. Ele tinha um firewall de aplicação web, regras baseadas em IP, desafios, limites de taxa, uma função de operações de segurança, ferramentas SIEM e um programa de recompensa por bugs. A falha foi que o conjunto de controles não modelou o ataque como ele ocorreu. Uma campanha distribuída pode evitar limites simples por IP. Credenciais corretas podem evitar bloqueios de login falho nas contas que importam.

Após o login, o scraping pode parecer uso entusiástico do produto, a menos que o sistema meça a travessia do grafo, a repetição de consultas, a velocidade da sessão e o alcance agregado do relacionamento.

1 a 10 de outubro: descoberta externa e primeira contenção

Em 1º de outubro, o ator anunciou dados roubados no Reddit. A 23andMe confirmou em 5 de outubro que o incidente era genuíno e anunciou em 6 de outubro que informações de perfil foram acessadas sem autorização. Seu relato público inicial atribuiu o acesso à reutilização de credenciais e disse que informações de perfis de Parentes de DNA podem ter sido obtidas. (Atualização de incidente e plano de ação da 23andMe)

A contenção não aconteceu em um movimento. Em 9 de outubro, quatro dias após a confirmação, a 23andMe invalidou sessões ativas. Em 10 de outubro, ela enviou e-mail a todos os clientes, exigiu uma redefinição global de senhas e incentivou o MFA. A empresa arquivou seu relatório inicial com o ICO em 15 de outubro e com o regulador canadense em 18 de outubro, após o escritório canadense solicitar um. Os relatórios iniciais aos reguladores usaram uma população afetada mundial de 1.103.647; suplementos do final de outubro elevaram esse número para 5.621.179.

A sequência expõe a importância do controle de sessão. Alterar uma senha não necessariamente encerra uma sessão já autenticada. Um plano de resposta deve invalidar tokens separadamente, rotacionar ou revogar outras credenciais, interromper exportações de alto risco, preservar evidências e identificar visualizações downstream. Os reguladores descobriram que quatro dias foi muito tempo para desabilitar todas as sessões e exigir a redefinição após um evento de dados de cliente de mais alta prioridade ter sido confirmado.

Novembro de 2023 a janeiro de 2024: login mais forte, notificação mais lenta

Em 2 de novembro, a 23andMe desativou os downloads de DNA bruto por autoatendimento. A função retornou em 27 de fevereiro de 2024 com uma verificação adicional de data de nascimento. Os reguladores questionaram a data de nascimento como um autenticador forte, pois pode estar disponível publicamente ou presente em outras violações, embora tenham avaliado as salvaguardas posteriores da empresa como um todo, em vez de tratar essa etapa isoladamente como suficiente.

Em 9 de novembro, o serviço tornou obrigatória a verificação em duas etapas baseada em e-mail para clientes que não estavam usando MFA de aplicativo ou SSO. O arquivamento alterado na SEC data o requisito do início de novembro e confirma que novos e existentes usuários precisariam de verificação em duas etapas daqui para frente. O MFA baseado em aplicativo já existia e poderia ter sido tornado obrigatório mais cedo; a 23andMe desenvolveu um método de e-mail de menor atrito.

Os reguladores concluíram que isso deixou as contas expostas por mais tempo do que o necessário, enquanto também aceitaram até o final de 2024 que o conjunto de controles remediados combinados era apropriado.

A notificação continuou em camadas. Pessoas cujas informações de Parentes de DNA foram postadas ou determinadas como acessadas receberam avisos em outubro. Alguns esclarecimentos apenas sobre Árvore Genealógica seguiram em dezembro. Pessoas cujas contas foram diretamente alvo de stuffing não foram notificadas desse fato até janeiro de 2024, quase três meses após a confirmação e mais de um mês após a empresa dizer que sua investigação forense estava completa.

O relatório conjunto encontrou omissões nos avisos aos reguladores e indivíduos, incluindo a possível exposição de DNA bruto, o período do ataque, a postagem de informações para venda e alguns campos da conta.

Contando contas, perfis e pessoas

O incidente não tem um único número honesto, a menos que a unidade e a data viajem com ele.

Cerca de 0,1% ou aproximadamente 14.000 contas:Esta foi a descrição inicial da empresa em dezembro de 2023 das contas diretamente alvo de stuffing de credenciais. A porcentagem apareceu no 8-K alterado. A cobertura contemporânea traduziu isso para cerca de 14.000 com base na população do serviço.

18.222 contas acessadas diretamente:Este foi o total mundial que a 23andMe posteriormente forneceu à investigação Canadá-Reino Unido em julho de 2024: 769 no Canadá e 611 no Reino Unido. É o número de conta direta mais desenvolvido no registro regulatório público.

5.497.376 perfis de Parentes de DNA e 1.468.791 perfis de Árvore Genealógica:Estes são contagens posteriores de grupos de campos mundiais relatadas aos reguladores. O relatório diz que os grupos de Parentes de DNA e Árvore Genealógica eram mutuamente exclusivos, enquanto as populações de Parentes de DNA e relatório de ancestralidade não eram. O Formulário 10-K do ano fiscal de 2024 da empresa arredondou as categorias para aproximadamente 5,5 milhões de perfis de Parentes de DNA e 1,5 milhão de perfis de Árvore Genealógica. (23andMe fiscal 2024 Form 10-K)

6.984.430 clientes afetados em todo o mundo:A 23andMe relatou esse total ao regulador canadense em 4 de dezembro de 2023, com 319.635 no Canadá. O relatório conjunto descreve geralmente quase sete milhões de clientes afetados. O acordo coletivo dos EUA usou aproximadamente 6,4 milhões de residentes dos EUA para seu escopo de classe.

Esses números descrevem populações aninhadas e sobrepostas, não quatro números para somar. Um titular de conta acessada diretamente também poderia ter um perfil de Parentes de DNA. Uma pessoa poderia ter tanto informações de ancestralidade quanto um perfil de relacionamento. Um perfil de Árvore Genealógica pode dizer respeito ao titular da conta ou a outra pessoa representada na árvore. A precisão requer um esquema: pessoa, conta, perfil genético, registro de relacionamento, nó de árvore genealógica, relatório e arquivo baixado são objetos diferentes.

A contagem de DNA bruto é ainda mais limitada. Em julho de 2024, a 23andMe relatou 18 downloads mundiais de DNA bruto e 49 instâncias em que o DNA bruto foi acessado ou navegado. Os reguladores identificaram fraquezas no método forense, incluindo logs ausentes do provedor de nuvem original e um log personalizado mal configurado. Em abril de 2025, após análise adicional, a 23andMe revisou o número de downloads de DNA bruto atribuídos ao ator para quatro mundiais, nenhum no Canadá ou no Reino Unido. Os reguladores não verificaram independentemente essa revisão.

A conclusão correta não é que o DNA bruto de sete milhões de pessoas foi baixado. O registro não suporta isso. Nem é que nenhum DNA bruto esteve envolvido. A posição posterior da empresa foi de quatro downloads atribuídos, enquanto os reguladores documentaram incerteza metodológica. Este é exatamente o ponto onde um artigo forense deve parar no limite da evidência.

O que uma sessão bem-sucedida podia revelar

Os dados também devem ser divididos por caminho de acesso.

Para umaconta acessada diretamente, os campos disponíveis podiam incluir nome completo, data de nascimento, sexo ao nascer, gênero, e-mail, país e código postal, altura e peso; relatórios de ancestralidade; relatórios de saúde; condições de saúde autorrelatadas; e informações genotípicas brutas. Não se segue que cada uma das 18.222 contas continha todos os campos ou que todo campo disponível foi baixado. O relatório conjunto dá uma contagem relatada mais específica de 8.217 contas com relatórios de saúde envolvidos e 63 com condições de saúde autorrelatadas.

Para umperfil de Parentes de DNA conectado, o material exposto era mais restrito, mas ainda sensível: nomes ou nomes de exibição, ano de nascimento e localização autorrelatados, imagem de perfil, raça ou origem étnica, relacionamento previsto, porcentagem de DNA compartilhado, segmentos correspondentes e informações opcionais de ancestralidade e árvore genealógica. Este foi o multiplicador. O ator visualizou esses registros através da autoridade das contas acessadas diretamente.

Paraperfis de Árvore Genealógica, o registro diz respeito a informações representadas em árvores genealógicas vinculadas. Um nó de árvore genealógica não deve ser equiparado casualmente a um cliente único do serviço ou a um registro genético bruto. O produto pode descrever parentes e linhagem sem que toda pessoa representada seja um titular de conta testada.

Paralistagens do invasor, o fato de uma oferta ou postagem não valida todo rótulo aplicado pelo vendedor. Os reguladores descobriram que alguns dados foram anunciados e que os avisos aos afetados deveriam ter divulgado esse fato. A reclamação da Califórnia de 2026 faz alegações adicionais sobre listas direcionadas, negociação de resgate, vulnerabilidades de produto e declarações da empresa. Essas alegações são sérias, mas, na data da publicação, a reclamação é uma petição inicial, não um julgamento. Deve ser citada como o caso do estado, não convertida em um fato julgado. (California Attorney General complaint and announcement)

Essa separação protege as pessoas afetadas de dois erros ao mesmo tempo: minimizar a divulgação não autorizada de ancestralidade e relacionamento porque não era sempre um arquivo bruto, e exagerar o evento em uma alegação de que genomas completos de sete milhões de pessoas foram levados. Ambos distorcem a responsabilidade.

O design do produto tornou a proporção possível

O propósito do produto era conexão. O Parentes de DNA criava valor ao mostrar a um cliente um amplo conjunto de correspondências e contexto suficiente para reconhecer relações familiares. Os controles de segurança não podiam simplesmente eliminar toda a visibilidade compartilhada sem desativar o recurso. Eles podiam, no entanto, governar quanta autoridade uma sessão acumulava e com que rapidez ela podia exercer essa autoridade.

Pelo menos cinco perguntas de design se seguem.

Primeiro,um grafo de relacionamento deve ser igualmente visível imediatamente após cada login?Um novo dispositivo, localização incomum ou conta recentemente recuperada poderia receber uma visão reduzida até a autenticação adicional. O objetivo não é esconder os próprios resultados de uma pessoa. É distinguir autoacesso de acesso em massa a perfis de outras pessoas.

Segundo,qual é o alcance máximo útil de uma sessão?Um produto pode calcular milhares de correspondências, mas não precisa entregá-las em velocidade de máquina ou expor os mesmos campos por meio de cada endpoint. Paginação, orçamentos por sessão, divulgação progressiva e exportações vinculadas a propósitos podem aumentar o custo de extração enquanto mantêm a descoberta normal utilizável.

Terceiro,quais consultas revelam dados de relacionamento?A telemetria de segurança deve entender o produto. Contar solicitações HTTP é mais fraco do que medir perfis únicos visualizados, expansão de árvore genealógica, recuperação de relatório de ancestralidade, consultas de segmento compartilhado e travessia repetida em muitas contas. Um ataque pode permanecer abaixo de um limite genérico de solicitações enquanto viola todos os padrões normais de uso de relacionamento.

Quarto,qual consentimento se aplica após a conta do visualizador ser comprometida?Uma pessoa optou por compartilhar com parentes genéticos usando o serviço, não com qualquer um que possa apresentar a senha de um parente. O consentimento não pode autenticar o visualizador. A plataforma deve impor as condições sob as quais a escolha de compartilhamento permanece significativa.

Quinto,uma pessoa conectada pode ver ou revogar o caminho de exposição?O histórico de eventos da conta ajuda o cliente acessado diretamente, mas um parente cujo perfil foi visualizado através da sessão de outra pessoa não tem um registro de sessão natural próprio. O serviço, portanto, precisa de análise de incidentes e notificação cientes do grafo. Deve ser capaz de responder não apenas quais contas foram acessadas, mas quais outros perfis cada sessão hostil alcançou.

É aqui que a minimização de dados se torna um controle operacional. Remover uma localização opcional, ano de nascimento ou nome de família das visualizações de relacionamento padrão pode reduzir consequências sem abolir a correspondência. Separar a descoberta de perfil dos relatórios detalhados de ancestralidade pode criar um limite de aumento. Limitar perfis antigos ou inativos pode reduzir o alcance retido. Estas são escolhas de produto, não palestras sobre senhas.

Padrões de MFA e o dever compartilhado por senhas

Os clientes não devem reutilizar senhas. A reutilização permite que uma violação em um serviço se torne uma chave para outro, e o invasor continua responsável por usá-la. Mas a culpa do cliente não esgota a responsabilidade da plataforma. Os serviços sabem que a reutilização de credenciais é comum o suficiente para ser um modelo de ameaça padrão. A Federal Trade Commission dos EUA advertiu em 2017 que as empresas que protegem contas sensíveis devem combinar técnicas de autenticação porque os invasores automatizam credenciais roubadas em escala. (Orientação da FTC sobre senhas seguras e autenticação)

A responsabilidade da 23andMe foi aumentada pelo alcance da sessão. O cliente acessado diretamente colocou sua própria conta em risco através da reutilização; ele não configurou o produto para expor até milhares de correspondências. Os parentes conectados não escolheram a senha comprometida. A empresa era o único ator capaz de tornar a autenticação mais forte obrigatória em todo o serviço.

Os reguladores identificaram três lacunas preventivas: MFA obrigatório, verificação de senhas comprometidas e força mínima de senha. O registro sobre a triagem de senhas era internamente inconsistente. Uma resposta disse que a empresa não verificava contra conjuntos de dados comprometidos; uma entrevista disse que verificava contra 20.000 senhas frequentemente repetidas de um conjunto de dados de 2021. Qualquer versão era muito mais restrita do que a triagem contínua contra um corpus amplo.

As orientações técnicas atuais suportam controles em camadas. O NIST SP 800-63B exige a verificação de senhas prospectivas contra valores comuns, esperados ou comprometidos e limitação de taxa eficaz; também afirma claramente que senhas não são resistentes a phishing. (NIST SP 800-63B) A orientação da OWASP sobre credential stuffing adiciona MFA contextual, sinais de dispositivo e conexão, identificação de senhas vazadas, visibilidade de eventos do usuário e métricas entre defesas. (OWASP Credential Stuffing Prevention Cheat Sheet) Estes são referenciais, não prova de que um controle teria impedido toda técnica.

A verificação em duas etapas por e-mail obrigatória foi uma melhoria significativa em relação ao login apenas com senha, mas não é o fator mais forte possível. Se uma conta de e-mail compartilha a mesma senha comprometida, um invasor pode alcançar ambas. Autenticadores de aplicativo e métodos resistentes a phishing podem fornecer separação mais forte. Um design maduro pode emparelhar uma linha de base obrigatória amplamente acessível com opções mais fortes, aumento baseado em risco e recuperação endurecida. Deve medir a adoção e os caminhos de bypass, não apenas anunciar que um recurso existe.

Scraping é um evento de segurança quando a autenticação é bem-sucedida

O credential stuffing teve sucesso apenas ocasionalmente em relação ao total de tentativas, mas o scraping subsequente tornou esses sucessos valiosos. Isso muda a detecção de um problema de login para um problema de comportamento de sessão.

Os reguladores não encontraram alertas ao longo de cinco meses, apesar de milhares de contas acessadas. Eles puderam identificar os períodos de ataque de maio e setembro a partir da proporção de logins bem-sucedidos para falhos. Eles também descobriram que a 23andMe detinha os dados de dispositivo, navegador e rede necessários para fingerprinting, mas não os usou para esse fim, citando seus outros controles e preocupações com privacidade.

Essa compensação merece cuidado. O fingerprinting de dispositivo pode se tornar rastreamento intrusivo se coletado sem limites ou reaproveitado para publicidade. A resposta não é vigilância ilimitada em nome da segurança. É a limitação de propósito: coletar os sinais mínimos necessários, definir retenção, isolar a telemetria de fraude do marketing, fornecer transparência, restringir o acesso e testar a eficácia. O custo de privacidade de um controle pertence à revisão de design; também pertence o custo de privacidade de deixar milhões de perfis conectados acessíveis por scraping.

O serviço também precisa de controles agregados. Um único endereço IP não é a única unidade útil. Os defensores podem avaliar tentativas por fonte de credencial, família de dispositivos, bloco de rede, impressão digital de automação, cluster de sessão e padrão de visualização de perfil. Eles podem definir orçamentos para parentes únicos visualizados, detectar travessia uniforme, comparar o tempo de navegação com o comportamento humano e desafiar exportações arriscadas. O objetivo não é reivindicar detecção perfeita de bots. É tornar a extração mais lenta, mais ruidosa e mais cara, enquanto produz evidências que um analista pode usar.

A economia de contato de abuso também se aplica aos canais de resposta. Uma equipe de segurança precisa de uma maneira de baixo atrito para clientes e pesquisadores relatarem comportamento suspeito, mas todo canal barato atrai ruído. A triagem deve preservar artefatos, vincular relatórios à telemetria e escalonar com base em sinais combinados. A mensagem de agosto de 2023 mostra por que descartar uma alegação não pode ser o fim do registro: mesmo uma alegação de volume falsa pode apontar para uma classe real de atividade quando a plataforma já caiu sob automação e viu centenas de tentativas de transferência suspeitas.

A notificação teve que seguir pessoas, não contas

A empresa notificou diferentes grupos entre outubro de 2023 e janeiro de 2024 à medida que sua análise se desenvolvia. Isso é compreensível em princípio: o escopo do incidente muda, e a certeza prematura pode enganar. As conclusões regulatórias foram mais específicas. Os avisos de outubro aos sujeitos de perfil conectado não disseram que algumas informações foram postadas para venda. Os avisos aos titulares de conta acessada diretamente chegaram mais tarde e não descreveram consistentemente todos os campos de configuração da conta ou o período de ataque de abril a setembro.

Os relatórios iniciais aos reguladores omitiram a possibilidade de que DNA bruto, relatórios de saúde e ancestralidade em contas alvo de stuffing tivessem sido afetados.

O design da notificação herdou o modelo de dados do produto. Se o sistema de resposta começa com uma lista de IDs de conta comprometidos, ele naturalmente contatará os titulares das contas primeiro. Mas o maior grupo afetado consistia em pessoas cujos perfis foram alcançados através da conta de outra pessoa. Um processo de violação ciente do grafo precisa de um registro de exposição: sessão hostil, conta de origem, endpoint visualizado, perfil conectado, campos disponíveis, campos recuperados, tempo, jurisdição e status de notificação.

Esse registro também evita a notificação excessiva. Uma pessoa cujo nome de exibição e porcentagem de DNA compartilhado foram visualizados deve receber um aviso que diga isso, não um alerta genérico implicando que um arquivo genotípico bruto foi baixado. Um titular de conta acessada diretamente com acesso a relatórios de saúde precisa de uma mensagem diferente. Um sujeito de árvore genealógica que não é titular de conta pode exigir uma rota legal e prática diferente novamente.

O relatório conjunto descobriu que a violação cruzou os limites de notificação sob a PIPEDA do Canadá e o GDPR do Reino Unido. Também encontrou atrasos e deficiências de conteúdo sob esses regimes. O comissário canadense tratou as salvaguardas melhoradas como resolvendo a questão do controle de segurança, enquanto o regulador do Reino Unido impôs uma multa de GBP 2,31 milhões por falhas envolvendo 155.592 usuários do Reino Unido e infrações que se estenderam até o final de 2024. (Uk ICO 23andMe enforcement record) A multa não é um preço global pela violação; reflete os poderes, a população e a análise legal de uma autoridade.

Localidade de dados é mais do que onde o servidor está

Este incidente mostra três localidades diferentes.

Localidade de armazenamentopergunta onde as informações pessoais, amostras, logs e backups são mantidos física ou contratualmente. Importa para mecanismos de transferência, acesso governamental, risco de fornecedor e expectativas do cliente. Mas nenhuma evidência revisada mostra que mover o mesmo produto inalterado para um servidor em outro país teria impedido credenciais reutilizadas válidas de abrir os mesmos perfis.

Localidade de acessopergunta onde a autoridade é aplicada. Neste caso, o limite decisivo era lógico: uma sessão de cliente bem-sucedida podia alcançar perfis conectados. Autenticação mais forte, risco de sessão, limites de consulta e autorização em nível de perfil teriam mudado essa localidade, mesmo que todo byte permanecesse na mesma instalação.

Localidade legalpergunta qual lei e regulador se aplicam à pessoa, controlador, processamento e transferência. As autoridades canadense e do Reino Unido puderam investigar conjuntamente uma empresa dos EUA porque residentes canadenses e do Reino Unido foram afetados e suas respectivas leis se aplicavam. Seu relatório fornece contagens separadas por país, deveres de notificação separados e conclusões separadas. A coordenação reduziu a coleta de fatos duplicada, mas não fundiu a PIPEDA e o GDPR do Reino Unido em uma lei.

A declaração de privacidade atual da empresa distingue informações genéticas, informações de amostra, informações autorrelatadas, dados de conta e escolhas de compartilhamento, e fornece direitos e contatos específicos por região. Também diz que a exclusão da conta aciona a exclusão de amostras e a opção de não participação em pesquisas, sujeito a limites declarados. A política atual é útil para avaliar os compromissos presentes, mas não é prova do que cada cliente entendia em 2023 ou de que os controles históricos operaram conforme prometido. (Declaração de privacidade atual da 23andMe)

A falência tornou a localidade legal tangível. A 23andMe Holding Co. e subsidiárias entraram com pedidos de Chapter 11 em março de 2025. O presidente da FTC advertiu o administrador judicial dos EUA de que uma venda ou transferência de dados genéticos, de amostra, de saúde e de relacionamento sensíveis tinha que respeitar as promessas sobre privacidade, escolha e exclusão. (Carta da FTC sobre a falência da 23andMe)

Os reguladores canadense e do Reino Unido escreveram separadamente a autoridades dos EUA sobre obrigações em relação a pessoas em suas jurisdições. (Carta conjunta Canadá-Reino Unido sobre privacidade na falência)

Em julho de 2025, a venda aprovada pelo tribunal de falências da substancialmente todos os ativos operacionais foi fechada com a TTAM Research Institute, posteriormente chamada de 23andMe Research Institute, por $305 milhões. O comprador se comprometeu a honrar as escolhas de privacidade existentes, exclusão e opções de não participação em pesquisas; restringir certas transferências futuras a entidades domésticas qualificadas que adotem as políticas; criar um conselho consultivo de privacidade; e relatar sobre procedimentos de privacidade. O arquivamento na SEC confirma o fechamento, enquanto os materiais de compra de ativos descrevem as salvaguardas. (23andMe sale-closing Form 8-K)

Esses termos demonstram que a governança de dados pode sobreviver como uma obrigação através da mudança de propriedade, em vez de viajar como um ativo irrestrito. Eles não fazem da geografia uma salvaguarda completa, e eles não apagam disputas sobre se o consentimento individual era legalmente exigido para a transferência. Procuradores-gerais estaduais contestaram a venda proposta; os clientes foram lembrados das opções de exclusão e destruição de amostras; a transação, no entanto, foi fechada sob autoridade judicial e condições negociadas.

A lição não é que a falência cancela automaticamente as promessas de privacidade, ou que uma política de privacidade pode resolver todas as questões de credores e leis estaduais. É que os termos de administração, capacidade de exclusão e direitos específicos da jurisdição precisam ser projetados antes da crise, quando a evidência e a equipe são mais fortes.

Os custos medem coisas diferentes

A 23andMe relatou $4,6 milhões em despesas do incidente no ano fiscal de 2024, compensados por $2,8 milhões de provável recuperação de seguro, principalmente para consultoria de tecnologia, trabalho jurídico e outros consultores. Esses são custos de resposta da empresa, não uma valoração do dano ao cliente.

O litígio privado produziu outro conjunto de números. Um acordo coletivo proposto nos EUA começou com um fundo não reversionário de $30 milhões e entrou no processo de falência. A estrutura final forneceu um fundo de pelo menos $30 milhões e até $50 milhões, categorias de dinheiro para reivindicações elegíveis e cinco anos de monitoramento de privacidade, médico e genético. O tribunal de falências concedeu aprovação final em 30 de janeiro de 2026. O site oficial do acordo diz que a classe diz respeito a aproximadamente 6,4 milhões de residentes dos EUA, o prazo para reivindicações em dinheiro passou e a distribuição aguarda a reconciliação da falência. (Site oficial do acordo de dados da 23andMe)

O acordo resolve reivindicações privadas e libera reivindicações cobertas de acordo com seus termos. Não é uma constatação do julgamento de que toda alegação escrita era verdadeira, e os benefícios do acordo não são evidência de que um reclamante sofreu um uso indevido genético particular. O rótulo de monitoramento não deve ser confundido com uma capacidade técnica de reverter uma exposição. É um benefício de serviço definido e um mecanismo de suporte a risco.

O Formulário 10-K do ano fiscal de 2025 descreveu $37,5 milhões em compromissos agregados em acordos de classe, arbitragem e tribunal estadual conforme então estruturados, juntamente com exposição a litígios e regulamentação. Esse arquivamento antecede os ajustes finais da falência e a aprovação, portanto não deve ser substituído pela descrição posterior do fundo administrado pelo tribunal. Continua sendo uma evidência útil de como múltiplos canais de disputa se acumularam em torno de um incidente. (23andMe fiscal 2025 Form 10-K)

A multa do Reino Unido mede uma infração de direito público para uma jurisdição e período definidos. A reclamação da Califórnia de 2026 é outra ação de execução pública, alegando falhas sob a Lei de Privacidade de Informações Genéticas, a Lei de Privacidade do Consumidor da Califórnia, a lei de segurança razoável e os estatutos de proteção ao consumidor. Também alega fatos além do relatório conjunto de 2025. Esses permanecem alegações, a menos que admitidos ou provados.

Acordo privado, penalidade regulatória, recuperação de seguro e receita de venda de falência pertencem a colunas separadas; somá-los em um ‘custo da violação’ produziria um total financeiramente elegante, mas legalmente sem sentido.

Remediação tornou-se específica o suficiente para testar

Até 31 de dezembro de 2024, a 23andMe informou aos investigadores Canadá-Reino Unido que havia implementado um conjunto de controles mais amplo. Os reguladores aceitaram as medidas coletivamente como suficientes para resolver as preocupações de salvaguardas que haviam identificado, e o regulador do Reino Unido tratou a empresa como cumprindo os requisitos de segurança relevantes a partir desse ponto. Essa é uma conclusão favorável significativa, com um limite: não certifica eficácia perpétua após mudança de propriedade e organizacional.

As mudanças relatadas incluíram um mínimo de 12 caracteres para senha, verificações contra um corpus muito maior de senhas comprometidas no registro, login e redefinição, verificação em duas etapas por e-mail obrigatória, proteções em torno de downloads de dados brutos e de saúde, um atraso de 48 horas antes da entrega de DNA bruto, exercícios simulados de credential stuffing, monitoramento revisado, mais de 253 novos alertas SIEM, monitoramento de sessão baseado em comportamento, monitoramento da dark web, um recurso de navegador confiável e histórico de eventos de conta baixável.

A governança de produto, segurança e engenharia também foi reforçada.

Um inventário de controles não é o mesmo que um resultado de controle. O próximo passo útil é pedir evidências sem exigir detalhes exploráveis.

O atraso de 48 horas ilustra um bom atrito quando emparelhado com aviso seguro e cancelamento: priva uma sessão hostil de extração instantânea e dá ao usuário genuíno tempo para reagir. Mas atraso sem um canal de contato confiável apenas adia a perda. Uma verificação de data de nascimento pode adicionar cerimônia enquanto confia em informações já visíveis em outro lugar. Os controles devem ser avaliados como uma cadeia.

O mesmo se aplica ao 2SV por e-mail obrigatório. Provavelmente bloqueia a versão simples desta campanha quando apenas uma senha da 23andMe está disponível. É mais fraco quando a conta de e-mail também está comprometida. Fatores mais fortes devem ser incentivados para todos os usuários e exigidos para ações especialmente importantes. A plataforma deve manter caminhos de recuperação para pessoas que perdem fatores, sem permitir que uma interação de suporte se torne o bypass mais fácil.

Quem controlava o quê

O ator da ameaçacontrolava a decisão de testar credenciais roubadas, entrar em contas, automatizar funções do produto, raspar perfis e postar ou oferecer informações. A intenção criminosa não é transferida para a empresa meramente porque os controles eram fracos.

Clientes com credenciais reutilizadascontrolavam sua escolha de senha entre serviços e deveriam ter usado uma senha única e MFA disponível. Sua responsabilidade é real, mas limitada. Eles não controlavam o monitoramento, a autorização do recurso, a invalidação da sessão ou o número de parentes visíveis através de sua conta.

Parentes conectados e sujeitos de perfilcontrolavam algumas escolhas de compartilhamento e campos opcionais. Eles não controlavam a segurança de cada conta correspondida ou a decisão da plataforma de conceder ampla visibilidade após login apenas com senha. Optar por um recurso não é consentimento para automação hostil.

A 23andMecontrolava a linha de base de autenticação do cliente, a triagem de senhas, o design de sessão e exportação, a visibilidade das correspondências, a telemetria, a triagem de incidentes, o tempo de resposta, o mapeamento de dados e os avisos. Também selecionou o modelo de sensibilidade e podia comparar a proteção das contas de funcionários com a proteção das contas de clientes. É por isso que a responsabilidade prática recai mais pesadamente sobre o serviço, embora não tenha originado as credenciais reutilizadas.

Reguladores e tribunaiscontrolavam os remédios dentro de leis e procedimentos particulares. Os comissários canadense e do Reino Unido podiam fazer constatações sobre salvaguardas e avisos para seus residentes. A autoridade do Reino Unido podia impor sua multa. O tribunal de falências podia aprovar os termos de venda e acordo. A Califórnia pode alegar um caso estadual. Nenhum tem jurisdição universal sobre todo cliente ou toda questão.

O instituto sucessorcontrola o serviço operacional e herdou os compromissos de administração após a venda de ativos. A antiga holding pública, renomeada Chrome Holding Co., permanece relevante para distribuições de falência e litígios. A nomenclatura clara importa porque os clientes devem saber qual entidade opera o produto, qual detém os dados, qual deve obrigações de acordo e qual recebe uma solicitação de exclusão.

O que permanece desconhecido

O registro público não inclui o relatório forense completo, todos os logs de incidentes, toda a infraestrutura hostil, a fonte exata das credenciais, todo o código do endpoint ou o histórico completo de consultas. Os reguladores notaram expressamente material solicitado faltante e fraquezas no registro de downloads brutos. Um relato confiante deve reter essas lacunas.

Não está estabelecido que o próprio armazenamento de credenciais da 23andMe foi violado. A empresa consistentemente disse que não encontrou indicação de que forneceu os pares de nome de usuário e senha, e os reguladores descreveram uma campanha de credential stuffing usando credenciais roubadas em outros incidentes.

Não está estabelecido que quase sete milhões de arquivos genotípicos brutos ou relatórios de saúde foram baixados. A maior população diz respeito a informações de Parentes de DNA, ancestralidade e Árvore Genealógica. Os campos de conta direta e eventos de dados brutos são categorias menores e contadas separadamente.

Não está estabelecido que todo anúncio do invasor era preciso, que um motivo ideológico particular impulsionou a seleção ou comercialização de registros, ou que todo registro reivindicado era único. O fato de que as informações foram comercializadas usando categorias sensíveis de ancestralidade é importante para notificação e avaliação de risco; motivo e uso downstream ainda requerem evidências.

Não está estabelecido no material revisado que uma pessoa específica sofreu discriminação no emprego, negação de seguro, lesão médica, vigilância policial ou roubo de identidade devido a este evento. Essas são preocupações concebíveis em torno de dados genéticos e de identidade, mas possibilidade não é uma constatação.

Também não está estabelecido que a remediação permanecerá eficaz indefinidamente. Os reguladores aceitaram as medidas combinadas até o final de 2024. A falência, mudanças na força de trabalho e transferência para um novo instituto tornam a garantia contínua especialmente importante. Um controle que passou em uma revisão pode se deteriorar através de mudança de configuração, pressão orçamentária ou um novo caminho de produto.

A responsabilidade começa na borda da conta de outra pessoa

O incidente começou com credenciais que funcionaram. Tornou-se uma exposição em massa porque o serviço anexou mais autoridade a essas credenciais do que o próprio registro da pessoa acessada diretamente. Essa é a lente de responsabilidade que vale a pena levar além da 23andMe.

Qualquer plataforma construída em torno de famílias, equipes, pacientes, estudantes, árvores genealógicas ou grafos sociais pode expor uma pessoa através da sessão de outra. O denominador correto, portanto, não são contas comprometidas. São pessoas e registros alcançáveis a partir da autoridade comprometida. O controle correto não é meramente login mais forte. É login mais forte combinado com alcance de sessão limitado, detecção de scraping ciente do produto, evidência de exportação confiável, contenção rápida e notificação em nível de pessoa.

A soberania de dados segue a mesma lógica. Um servidor doméstico não cria controle local se uma sessão remota puder percorrer um grafo de relacionamento global. Uma política de privacidade não preserva a escolha se as obrigações de exclusão, consentimento e transferência desaparecerem durante uma venda. A jurisdição legal não se mapeia perfeitamente para a arquitetura do sistema, então o serviço deve carregar residência, direitos e estado de notificação junto com os dados.

A conclusão mais defensável é mais restrita do que a manchete mais alta da violação e mais exigente do que a primeira explicação da empresa. A reutilização de senhas abriu a porta. O design do produto a ampliou. O monitoramento falhou em reconhecer a passagem repetida. A resposta e a notificação fecharam diferentes partes dela em datas diferentes. Controles posteriores, constatações regulatórias e termos judiciais criaram um registro de responsabilidade mensurável. A obrigação restante é provar, continuamente, que a conta de uma pessoa não pode mais se tornar uma rota de extração barata para milhares de outras vidas.