23andMe и взлом через подбор паролей, превративший родственников в поверхность утечки

Кратко

• Подтверждённый доступ был многоуровневым:23andMe изначально сообщила, что доступ примерно к 0,1 % пользовательских аккаунтов, что тогда обычно описывали как около 14 000, был получен с использованием паролей, повторно использованных в других сервисах. Позднее совместное расследование Канады и Великобритании установило, что по всему миру были напрямую скомпрометированы 18 222 аккаунта. Через эти сессии злоумышленник собрал данные из разделов «Родственники по ДНК» (DNA Relatives) и «Семейное древо» (Family Tree), принадлежащие почти семи миллионам клиентов.
• Родственники расширили радиус поражения:клиент, включивший функцию DNA Relatives, делал выбранные данные профиля, сведения о происхождении и родственных связях видимыми для совпадений. Поэтому злоумышленнику не нужно было, чтобы каждый пострадавший повторно использовал пароль. Продукт превращал небольшой набор действующих логинов в право просматривать гораздо более крупный граф родственных связей.
• Обнаружение и реагирование подвели в нескольких точках:регуляторы выявили интенсивные периоды подбора паролей, обвал платформы в июле, вызванный более чем миллионом входов в один аккаунт, сотни попыток переноса профилей и августовское заявление о крупной краже. Масштабная кампания была подтверждена только после того, как похищенные данные начали рекламировать в октябре 2023 года. Затем последовали обязательная двухэтапная проверка, глобальный сброс паролей и ужесточение контроля загрузки исходных данных ДНК.
• Ответственность разделена, но неравномерно:злоумышленник отвечает за несанкционированный доступ, сбор данных и их публикацию. Клиенты, повторно использовавшие пароли, создали первоначальный путь. Только 23andMe контролировала настройки аутентификации по умолчанию, проверку скомпрометированных паролей, полномочия сессий, лимиты запросов к родственным связям, телеметрию, реагирование и уведомления. Последующие выводы регуляторов, штраф в Великобритании, урегулирование коллективного иска, защита при продаже в рамках банкротства и всё ещё оспариваемое дело в Калифорнии измеряют разные правовые вопросы; ни одно из них не подтверждает заявления о конкретном неправомерном использовании генетических данных без доказательств.

Один пароль — множество людей

Обычный подсчёт взломанных аккаунтов спрашивает, в сколько учётных записей вошёл злоумышленник. Здесь это необходимо, но совершенно недостаточно. Функция DNA Relatives была создана, чтобы показывать участвующему клиенту набор генетических совпадений. Как установило совместное расследование, в зависимости от подписки включённый аккаунт мог видеть 1 500 или 5 000 профилей DNA Relatives. Совпадение могло раскрывать имя или псевдоним, прогнозируемую степень родства, процент общей ДНК и, по желанию, сведения о происхождении, местоположении, годе рождения, фотографию, фамилию и поля семейного древа.

Текущее описание 23andMe по-прежнему ясно излагает лежащую в основе модель обмена: участники сами выбирают, появляться ли им у генетических совпадений, и выбранные сведения становятся видимыми в этом контексте родства. (Настройки конфиденциальности и отображения функции DNA Relatives в 23andMe)

Это не означало публикацию профиля в открытом интернете. Видимость была обусловлена наличием аутентифицированного аккаунта 23andMe, участием в функции и рассчитанным самой службой генетическим совпадением. Но условный обмен может создавать широкую поверхность авторизации. Как только злоумышленник успешно выдал себя за участвующего клиента, служба считала сессию вправе видеть информацию, предоставленную другими людьми. Эти другие люди могли использовать уникальные пароли и более сильную аутентификацию.

Их безопасность тем не менее частично зависела от самого слабого связанного аккаунта и от средств контроля, ограничивавших то, что этот аккаунт мог получить.

Это проблема общего профиля. Владелец скомпрометированного аккаунта и субъект раскрытых данных часто разные люди. Один контролирует учётные данные; другой предоставил видимый профиль; платформа определяет родство и выдаёт доступ. Анализ, который сводит событие целиком к повторному использованию паролей, стирает эти роли. Он также упускает продуктовое решение, умножившее ценность каждого успешного входа.

Это различие особенно важно для генетического сервиса, потому что информация о родстве по своей природе реляционная. Процент общей ДНК описывает связь как минимум между двумя людьми. Семейное древо может включать людей, которые никогда не заводили аккаунт. Прогнозируемая степень родства формируется из сравнительных данных и не принадлежит в операционном смысле только одной стороне. Согласие одного клиента на участие в функции поиска совпадений не даёт этому клиенту технического контроля над тем, как обнаруживается или ограничивается скомпрометированная сессия другого клиента.

Ничто из этого не доказывает конкретный генетический вред. Изученные материалы не устанавливают, что работодатель, страховщик, государственный орган или лицо, принимающее медицинские решения, использовали раскрытую информацию против пострадавшего. Установлены несанкционированный доступ к аккаунтам, автоматизированный сбор данных, публикация или предложение некоторых сведений в интернете и раскрытие определённых полей профиля и аккаунта. Ответственность должна опираться на эти доказанные факты и на риски, которые регуляторы были обязаны оценить по закону, а не на выдуманные дальнейшие последствия.

В доказательствах — четыре разные категории

Публичная картина за два года стала подробнее, и обозначения имеют значение. Четыре категории доказательств не следует смешивать.

Изменённая форма 8-K от декабря 2023 года — первичный отчёт компании. В нём говорится, что злоумышленник получил доступ к 0,1 % пользовательских аккаунтов, где имя пользователя и пароль 23andMe совпадали с учётными данными, ранее скомпрометированными или иным образом доступными в другом месте. Также сообщалось, что злоумышленник использовал эти аккаунты для доступа к файлам со сведениями о происхождении, которые другие пользователи решили передавать через DNA Relatives, и опубликовал часть информации в интернете. Компания заявила, что у неё нет оснований считать себя источником этих учётных данных. (Изменённая форма 8-K компании 23andMe)

Совместный отчёт Офиса уполномоченного по вопросам неприкосновенности частной жизни Канады и Управления уполномоченного по информации Соединённого Королевства от июня 2025 года — наиболее полная консолидированная публичная реконструкция. Он основан на материалах компании, интервью с сотрудниками, открытых источниках и анализе регуляторов. В нём также зафиксировано существенное ограничение: регуляторы получили не все запрошенные документы, включая некоторые внутренние журналы инцидентов и судебно-технический отчёт, поскольку 23andMe заявила о юридической привилегии. Это не отменяет выводы. Это означает, что отчёт необычайно подробен, но не является полным раскрытием лежащей в основе технической документации. (Отчёт совместного расследования Канады и Великобритании)

Блог компании, документы о ценных бумагах, отчёт регулятора, одобренное судом урегулирование и позднейшая жалоба отвечают на разные вопросы. Они должны по возможности подтверждать друг друга, но их не следует сжимать в одно гладкое повествование. Переход от ранней оценки в 0,1 % к более поздней цифре регуляторов в 18 222 аккаунта — хороший пример: он отражает дату отчётности, развитие доказательств и метод подсчёта. Это не основание называть одно число ложью только потому, что другое появилось позже.

С апреля по октябрь 2023 года: атака во времени

До апреля: чувствительные аккаунты с необязательной защитой

На момент инцидента клиенты могли входить по электронной почте и паролю. Многофакторная аутентификация через приложение и единый вход через Apple или Google были доступны, но не обязательны. Совместное расследование установило, что примерно 78 % клиентов не использовали ни MFA, ни SSO; только 0,2 % использовали предлагаемую MFA через приложение. Для сотрудников, получавших доступ к информации компании, MFA или SSO были обязательными, а для клиентских аккаунтов — нет.

Эта асимметрия важна. Внутреннюю инфраструктуру защищали вторым фактором, а потребительский аккаунт мог с одним паролем открывать отчёты о здоровье, результаты анализа происхождения, сведения о родстве и путь к запросу исходных генотипных данных. Регуляторы также обнаружили, что 23andMe не моделировала подбор паролей против клиентского сервиса и не имела плана реагирования на инциденты именно этого типа. Её тесты на проникновение были сосредоточены на внутренней инфраструктуре.

Необязательная MFA — это не отсутствие контроля. Клиенты, включившие её, получали реальную защиту, и регуляторы отметили, что ни один аккаунт с MFA или единым входом Apple или Google не был успешно взломан подбором паролей в этой кампании. Но добровольная защита перекладывает риск внедрения на пользователя даже там, где сервис решил сосредоточить исключительно чувствительные данные и межаккаунтную видимость. Правильный вопрос — не существовала ли MFA на странице настроек. А в том, соответствовал ли уровень защиты по умолчанию тому, что могла сделать успешная сессия.

С 29 апреля по 16 мая: первый интенсивный период

Более поздняя хронология регуляторов относит кампанию к периоду с 29 апреля по 20 сентября 2023 года. В первый интенсивный период, закончившийся 16 мая, были успешно взломаны 9 974 аккаунта. Подбор паролей отличается от грубого перебора одного аккаунта: злоумышленник пробует пары «имя пользователя — пароль», полученные из других утечек или источников, ожидая, что часть людей использовала их повторно. Поэтому корректный вход может выглядеть обычным, если мониторинг рассматривает каждый аккаунт изолированно.

Экономика на стороне злоумышленника. Наборы учётных данных переиспользуемы между сервисами, попытки входа можно распределять, а автоматизация превращает низкий процент успеха в жизнеспособную кампанию. Сервис несёт затраты на защиту от ботов, обнаружение аномалий, трения для клиентов и поддержку. Злоумышленнику нужно лишь достаточно успешных сессий, чтобы оправдать эти затраты. В данном случае каждая успешная сессия вдобавок открывала вид на тысячи связанных профилей, из-за чего ожидаемая отдача от одного действующего пароля оказывалась гораздо выше, чем содержимое этого аккаунта.

Это экономика взаимодействия со злоупотреблениями в данном событии. Первым контактом злоумышленника с сервисом была попытка входа. Успешный контакт становился устойчивой сессией. Сессия превращалась в канал запросов к чужим общим профилям. Любая граница, которую можно было дешёво пересечь, повышала ценность извлечения: ещё один вход, ещё одна страница совпадений, ещё один запрос семейного древа, ещё одна порция данных профилей. Защите приходилось оценивать всю последовательность, а не только проверку пароля.

6 июля: миллион входов и обвал платформы

6 июля, согласно анализу регуляторов записей входов клиентов, компьютерная программа вошла в бесплатный аккаунт без образца ДНК более миллиона раз за один день. Активность временно обрушила платформу и была связана с неудачной попыткой инициировать переносы профилей. Событие было операционно громким. Оно было и структурно значимым: перенос профиля — это способ передать управление генетическим профилем между аккаунтами.

23andMe провела расследование и приняла меры против несанкционированных переносов, но не связала эту активность с более широкой кампанией подбора паролей. Обвал платформы сам по себе не является автоматическим доказательством взлома; сбои доступности могут иметь много причин. Однако в контексте это был сигнал, что аутентифицированный рабочий процесс автоматизируется в исключительных объёмах. Провал ответственности, выявленный регуляторами, заключался не в неспособности вывести всю кампанию из одного графика. А в неспособности соединить эту аномалию с последующими событиями.

С 28 по 30 июля: около 400 попыток переноса

В конце июля злоумышленник попытался автоматизировать переносы профилей примерно 400 аккаунтов. 23andMe отключила запросы на перенос, временно заблокировала потенциально затронутые аккаунты, потребовала сброса паролей у этих клиентов и добавила предупреждение об аномальных объёмах переноса. Внутреннее расследование пришло к выводу, что был получен доступ к ограниченной информации в 19 аккаунтах клиентов из США.

Эта реакция показывает, что компания умела действовать узко и быстро вокруг признанного рабочего процесса. Она также выявила слабость контроля паролей: клиент мог сбросить аккаунт на ранее использовавшийся пароль. 23andMe изменила такое поведение в августе. Но расследование не установило, что более широкая атака уже получила доступ к тысячам аккаунтов. Контроль был ограничен симптомом: злоупотреблением переносом, а не системой доступа к аккаунтам и сбора данных вокруг него.

10 августа: заявление, отклонённое как розыгрыш

Затем 23andMe получила сообщения через портал для клиентов от человека, утверждавшего, что у него есть данные более чем 10 миллионов клиентов общим объёмом 300 терабайт. Сотрудник также заметил похожее заявление на Reddit под тем же именем. Служба безопасности провела расследование и классифицировала заявление как розыгрыш.

Эта цифра — заявление злоумышленника, а не подтверждённая мера, и она должна оставаться с такой пометкой. Позднейшие регуляторы не подтвердили ни 300 терабайт, ни кражу данных 10 миллионов клиентов. Их вывод касался достаточности расследования: заявления о взломах были для компании редкостью, и это заявление поступило после июльского обвала и попыток переноса. В совокупности эти события требовали более глубокого разбирательства. В отчёте делается вывод, что более серьёзное августовское расследование могло вскрыть кампанию до второго интенсивного периода.

Этот момент важен для сообщений о злоупотреблениях. Входящие могут быть завалены неправдоподобными заявлениями, вымогательством, сообщениями исследователей, жалобами клиентов и шумом. Относиться к каждому сообщению как к истине невозможно. Но и считать сортировку окончательным решением опасно. Сервисам с высокими последствиями нужно правило эскалации, сочетающее новизну заявления, артефакты заявителя, сопутствующие аномалии и известные пути атак. Затраты, которые злоумышленник несёт за подачу заявления, могут быть почти нулевыми; стоимость полного судебно-технического расследования — нет.

Управление определяет, когда независимых сигналов достаточно, чтобы заплатить эту цену.

Сентябрь: второй интенсивный период

Злоумышленник возобновил интенсивный подбор паролей в сентябре и скомпрометировал ещё 4 364 аккаунта. За всю кампанию регуляторы обнаружили два заметных искажения в соотношении успешных и неудачных входов — в мае и сентябре. У 23andMe были инструменты, способные обнаружить атаку, но они не были настроены на предупреждение о такой картине. Пороговые значения задавались в основном вручную, и компания не использовала доступную информацию об устройствах, браузерах и сетях для создания отпечатков подозрительного клиентского доступа.

Это точнее, чем утверждение, что у сервиса не было мониторинга. У него были межсетевой экран веб-приложений, правила на основе IP, проверки, ограничения частоты запросов, функция безопасности операций, инструменты SIEM и программа bug bounty. Провал заключался в том, что набор средств контроля не моделировал атаку такой, какой она происходила. Распределённая кампания может обходить простые ограничения на IP. Корректные учётные данные могут избегать блокировок за неудачные входы на значимых аккаунтах.

Сбор данных после входа может выглядеть как активное использование продукта, если система не измеряет обход графа, повторяемость запросов, скорость сессии и совокупный охват родственных связей.

С 1 по 10 октября: внешнее обнаружение и первые меры сдерживания

1 октября злоумышленник разместил объявление о похищенных данных на Reddit. 23andMe 5 октября подтвердила, что инцидент реален, и 6 октября объявила, что информация профилей была получена без разрешения. В первом публичном заявлении компания объяснила доступ повторным использованием паролей и сообщила, что могла быть получена информация из профилей DNA Relatives. (Обновление 23andMe об инциденте и плане действий)

Сдерживание не произошло одним движением. 9 октября, через четыре дня после подтверждения, 23andMe аннулировала активные сессии. 10 октября она разослала электронные письма всем клиентам, потребовала глобального сброса паролей и рекомендовала MFA. Компания подала первоначальный отчёт в ICO 15 октября, а канадскому регулятору — 18 октября, после того как канадский офис запросил его. В первоначальных отчётах регуляторам указывалось число пострадавших в мире 1 103 647; в дополнениях конца октября оно было повышено до 5 621 179.

Последовательность обнажает важность контроля сессий. Смена пароля не обязательно завершает уже аутентифицированную сессию. План реагирования должен отдельно аннулировать токены, ротировать или отзывать другие учётные данные, останавливать экспорт повышенного риска, сохранять доказательства и выявлять последующие точки просмотра. Регуляторы сочли, что четырёх дней на отключение всех сессий и обязательный сброс паролей после подтверждения события высшего приоритета с данными клиентов было слишком много.

С ноября 2023 по январь 2024 года: более строгий вход, запоздалые уведомления

2 ноября 2023 года 23andMe отключила самостоятельную загрузку исходных данных ДНК. Функция вернулась 27 февраля 2024 года с дополнительной проверкой даты рождения. Регуляторы усомнились в дате рождения как надёжном аутентификаторе, поскольку она может быть публично доступна или присутствовать в других утечках, хотя они оценивали последующие меры компании в целом, а не рассматривали этот шаг как достаточный сам по себе.

9 ноября сервис сделал обязательной двухэтапную проверку по электронной почте для клиентов, не использующих MFA через приложение или SSO. В изменённом документе SEC требование датировано началом ноября и подтверждается, что новым и существующим пользователям впредь потребуется двухэтапная проверка. MFA через приложение уже существовала и могла быть сделана обязательной раньше; 23andMe вместо этого разработала менее обременительный почтовый метод. Регуляторы пришли к выводу, что это оставило аккаунты под угрозой дольше, чем необходимо, хотя к концу 2024 года признали совокупный набор исправленных мер контроля адекватным.

Уведомления продолжались послойно. Люди, чья информация DNA Relatives была опубликована или чей доступ был установлен, получили уведомления в октябре. Некоторые уточнения, касавшиеся только семейных древ, последовали в декабре. Люди, чьи аккаунты были взломаны напрямую, не были уведомлены об этом до января 2024 года — почти через три месяца после подтверждения и более чем через месяц после того, как компания объявила судебно-техническое расследование завершённым.

В совместном отчёте отмечены пробелы в уведомлениях регуляторам и отдельным лицам, включая возможное раскрытие исходной ДНК, период атаки, публикацию информации на продажу и некоторые поля аккаунтов.

Считаем аккаунты, профили и людей

У инцидента нет честной единственной цифры, если вместе с ней не указаны единица измерения и дата.

Около 0,1 %, или примерно 14 000 аккаунтов:так компания в начале декабря 2023 года описала аккаунты, взломанные прямым подбором паролей. Процент появился в изменённой форме 8-K. Современные публикации переводили его в примерно 14 000, исходя из численности сервиса.

18 222 напрямую взломанных аккаунта:общемировой итог, который 23andMe позднее предоставила канадско-британскому расследованию в июле 2024 года: 769 в Канаде и 611 в Великобритании. Это более проработанная цифра прямых аккаунтов в публичных материалах регуляторов.

5 497 376 профилей DNA Relatives и 1 468 791 профиль Family Tree:это более поздние общемировые подсчёты групп полей, переданные регуляторам. В отчёте сказано, что группы DNA Relatives и Family Tree были взаимоисключающими, а группы DNA Relatives и получателей отчётов о происхождении — нет. В форме 10-K за 2024 финансовый год компания округлила категории до примерно 5,5 миллиона профилей DNA Relatives и 1,5 миллиона профилей Family Tree. (Форма 10-K компании 23andMe за 2024 финансовый год)

6 984 430 пострадавших клиентов по всему миру:этот итог 23andMe сообщила канадскому регулятору 4 декабря 2023 года, включая 319 635 в Канаде. В совместном отчёте обычно говорится о почти семи миллионах пострадавших клиентов. Американское коллективное урегулирование позднее использовало примерно 6,4 миллиона резидентов США для охвата класса.

Эти цифры описывают вложенные и пересекающиеся совокупности, а не четыре числа для сложения. Владелец напрямую взломанного аккаунта мог также иметь профиль DNA Relatives. Человек мог обладать одновременно сведениями о происхождении и профилем родства. Профиль Family Tree мог касаться владельца аккаунта или другого человека, представленного в древе. Для точности нужна схема: человек, аккаунт, генетический профиль, запись о родстве, узел семейного древа, отчёт и загруженный файл — это разные объекты.

Подсчёт исходной ДНК ещё более ограничен. В июле 2024 года 23andMe сообщила о 18 общемировых загрузках исходной ДНК и 49 случаях, когда исходная ДНК была открыта или просмотрена. Регуляторы выявили слабости в судебно-техническом методе, включая отсутствие исходных журналов облачного провайдера и неправильно настроенный пользовательский журнал. В апреле 2025 года после дальнейшего анализа 23andMe пересмотрела число загрузок исходной ДНК, приписываемых злоумышленнику, до четырёх по всему миру, ни одной в Канаде и Великобритании. Регуляторы не проверяли этот пересмотр независимо.

Правильный вывод не в том, что исходная ДНК семи миллионов человек была загружена. Материалы этого не подтверждают. Но и не в том, что исходной ДНК не касались. Более поздняя позиция компании — четыре приписываемые загрузки, тогда как регуляторы зафиксировали методологическую неопределённость. Именно здесь судебно-аналитическая статья должна остановиться на границе доказательств.

Что могла раскрыть успешная сессия

Данные нужно также разделять по пути доступа.

Внапрямую взломанном аккаунтедоступные поля могли включать полное имя, дату рождения, пол при рождении, гендер, электронную почту, страну и почтовый индекс, рост и вес; отчёты о происхождении; отчёты о здоровье; самостоятельно сообщаемые состояния здоровья; и исходную генотипную информацию. Из этого не следует, что каждый из 18 222 аккаунтов содержал все поля или что каждое доступное поле было загружено. В совместном отчёте приводится более конкретный зарегистрированный подсчёт: 8 217 взломанных аккаунтов с затронутыми отчётами о здоровье и 63 с самостоятельно сообщаемыми состояниями здоровья.

Длясвязанного профиля DNA Relativesраскрытый материал был уже, но не менее чувствителен: имена или псевдонимы, самостоятельно сообщаемые год рождения и местоположение, изображение профиля, раса или этническое происхождение, прогнозируемая степень родства, процент общей ДНК, совпадающие сегменты и, по желанию, сведения о происхождении и семейном древе. Это и был множитель. Злоумышленник просматривал эти записи через полномочия напрямую взломанных аккаунтов.

Что касаетсяпрофилей Family Tree, материалы касаются информации, представленной в связанных семейных древах. Узел семейного древа не следует походя приравнивать к уникальному клиенту сервиса или записи исходной ДНК. Продукт может описывать родственников и происхождение, даже если не каждый представленный человек является владельцем протестированного аккаунта.

Что касаетсяобъявлений злоумышленника, сам факт предложения или публикации не подтверждает каждый ярлык, применённый продавцом. Регуляторы установили, что часть данных рекламировалась и что уведомления пострадавших должны были раскрывать этот факт. Жалоба Калифорнии 2026 года добавляет утверждения о целевых списках, переговорах о выкупе, уязвимостях продукта и заявлениях компании. Эти утверждения серьёзны, но на момент публикации жалоба — это исковой документ инициирующей стороны, а не судебное решение. Её нужно цитировать как версию штата, а не превращать в установленный факт. (Жалоба и заявление генерального прокурора Калифорнии)

Такое разделение защищает пострадавших сразу от двух ошибок: преуменьшения несанкционированного раскрытия сведений о происхождении и родстве на том основании, что это не всегда был файл исходных данных, и преувеличения события до утверждения, что взяты полные геномы семи миллионов человек. Обе искажают ответственность.

Дизайн продукта сделал такое соотношение возможным

Назначением продукта была связь. DNA Relatives создавала ценность, показывая клиентам широкий набор совпадений и достаточно контекста, чтобы распознавать семейные отношения. Средства безопасности не могли просто устранить всю общую видимость, не отключив функцию. Но они могли ограничивать, сколько полномочий накапливает одна сессия и как быстро она может ими воспользоваться.

Следуют как минимум пять вопросов дизайна.

Первый:должен ли граф родственных связей быть одинаково видимым сразу после каждого входа?Новое устройство, необычное местоположение или недавно восстановленный аккаунт могли бы получать урезанный вид до усиленной аутентификации. Цель — не скрыть собственные результаты человека. А в том, чтобы отличать доступ к самому себе от массового доступа к чужим профилям.

Второй:каков максимальный полезный охват сессии?Продукт может рассчитывать тысячи совпадений, но ему не обязательно выдавать их на машинной скорости или показывать одинаковые поля через каждую конечную точку. Постраничная выдача, бюджеты на сессию, постепенное раскрытие и экспорт по целевому назначению могут повысить стоимость извлечения, сохраняя обычный поиск удобным.

Третий:какие запросы раскрывают данные о родстве?Телеметрия безопасности должна понимать продукт. Подсчёт HTTP-запросов слабее, чем измерение уникальных просмотренных профилей, расширения семейных древ, получения отчётов о происхождении, запросов общих сегментов и повторного обхода множества аккаунтов. Атака может оставаться ниже общего порога запросов, нарушая при этом любую нормальную картину использования родственных связей.

Четвёртый:какое согласие действует, когда аккаунт зрителя скомпрометирован?Человек согласился делиться с генетическими родственниками через сервис, а не с тем, кто может предъявить пароль родственника. Согласие не может аутентифицировать зрителя. Платформа должна обеспечивать условия, при которых выбор обмена остаётся осмысленным.

Пятый:может ли связанный человек увидеть или отозвать путь раскрытия?История событий аккаунта помогает клиенту, чей аккаунт был взломан напрямую, но родственник, чей профиль просматривали через чужую сессию, не имеет своего естественного журнала сессий. Поэтому сервису нужен анализ инцидентов и уведомления, учитывающие граф. Нужно уметь отвечать не только на вопрос, в какие аккаунты вошли, но и на вопрос, до каких чужих профилей дотянулась каждая враждебная сессия.

Здесь минимизация данных становится операционным контролем. Удаление местоположения, года рождения или фамилии из видов родства по умолчанию может снизить последствия, не отменяя поиск совпадений. Отделение обнаружения профилей от подробных отчётов о происхождении может создать границу усиления. Ограничение старых или неактивных профилей может сократить сохраняемый охват. Это продуктовые решения, а не нотации о паролях.

Настройки MFA по умолчанию и общая обязанность по паролям

Клиенты не должны повторно использовать пароли. Повторное использование позволяет утечке в одном сервисе стать ключом к другому, и злоумышленник остаётся ответственным за использование украденных данных. Но вина клиента не исчерпывает ответственность платформы. Сервисы знают, что повторное использование паролей достаточно распространено, чтобы быть стандартной моделью угрозы. Федеральная торговая комиссия США предупреждала ещё в 2017 году, что компании, защищающие чувствительные аккаунты, должны сочетать методы аутентификации, поскольку злоумышленники автоматизируют использование украденных учётных данных в масштабе. (Рекомендации FTC по надёжным паролям и аутентификации)

Ответственность 23andMe усиливалась охватом сессий. Клиент, чей аккаунт взломали напрямую, сам подверг свой аккаунт риску повторным использованием пароля; он не настраивал продукт так, чтобы раскрывались до тысяч совпадений. Связанные родственники вообще не выбирали скомпрометированный пароль. Компания была единственным действующим лицом, способным сделать более сильную аутентификацию обязательной во всём сервисе.

Регуляторы выявили три пробела в профилактике: обязательную MFA, проверку скомпрометированных паролей и минимальную сложность пароля. Материалы по проверке паролей внутренне противоречивы. В одном ответе говорилось, что компания не проверяла пароли по наборам скомпрометированных данных; в интервью утверждалось, что она проверяла по 20 000 часто повторяемых паролей из набора 2021 года. Любая из версий была гораздо уже, чем постоянная проверка по широкому корпусу.

Актуальные технические рекомендации поддерживают многослойные меры. NIST SP 800-63B требует проверять предлагаемые пароли по распространённым, ожидаемым или скомпрометированным значениям и эффективно ограничивать частоту попыток; в нём также прямо сказано, что пароли не устойчивы к фишингу. (NIST SP 800-63B) Рекомендации OWASP по подбору паролей добавляют контекстную MFA, сигналы устройства и соединения, выявление утёкших паролей, видимость событий для пользователя и метрики по всем линиям обороны. (Памятка OWASP по предотвращению подбора учётных данных) Это ориентиры, а не доказательство, что один контроль остановил бы все методы.

Обязательная двухэтапная проверка по электронной почте была существенным улучшением по сравнению с входом только по паролю, но это не самый сильный из возможных факторов. Если почтовый ящик использует тот же скомпрометированный пароль, злоумышленник может добраться до обоих. Приложения-аутентификаторы и методы, устойчивые к фишингу, могут обеспечить более сильное разделение. Зрелый дизайн может сочетать общедоступный обязательный базовый уровень с более сильными опциями, усилением по риску и защищённым восстановлением. Нужно измерять внедрение и пути обхода, а не просто объявлять о существовании функции.

Сбор данных — событие безопасности, даже когда аутентификация успешна

Подбор паролей удавался лишь иногда по сравнению с общим числом попыток, но последующий сбор данных делал эти успехи ценными. Это меняет задачу обнаружения с проблемы входа на проблему поведения сессии.

Регуляторы не нашли предупреждений за пять месяцев, несмотря на тысячи взломанных аккаунтов. Они смогли выявить периоды атак в мае и сентябре по соотношению успешных и неудачных входов. Они также обнаружили, что 23andMe располагала данными об устройствах, браузерах и сетях, необходимыми для создания отпечатков, но не использовала их для этой цели, ссылаясь на другие меры и опасения по поводу конфиденциальности.

Этот компромисс требует осторожности. Отпечатки устройств могут превратиться в навязчивое слежение, если собирать их без ограничений или использовать для рекламы. Ответ — не безграничная слежка во имя безопасности. А целевое ограничение: собирать минимум необходимых сигналов, определять сроки хранения, отделять телеметрию о мошенничестве от маркетинга, обеспечивать прозрачность, ограничивать доступ и проверять эффективность. Цена контроля для конфиденциальности должна учитываться при проектировании; так же должна учитываться цена конфиденциальности от того, что миллионы связанных профилей остаются доступными для сбора.

Сервису нужны и агрегированные меры. Единый IP-адрес — не единственная полезная единица. Защита может оценивать попытки по источнику учётных данных, семейству устройств, сетевому блоку, отпечатку автоматизации, кластеру сессий и картине просмотра профилей. Можно задавать бюджеты на количество уникальных просмотренных родственников, выявлять единообразный обход, сравнивать тайминги навигации с поведением человека и оспаривать рискованные экспорты. Цель — не заявить об идеальном обнаружении ботов. А сделать извлечение медленнее, шумнее и дороже, обеспечивая аналитика доказательствами, по которым можно действовать.

Экономика взаимодействия со злоупотреблениями относится и к каналам реагирования. Службе безопасности нужен простой способ для клиентов и исследователей сообщать о подозрительном поведении, но любой дешёвый канал притягивает шум. Сортировка должна сохранять артефакты, связывать сообщения с телеметрией и эскалировать по совокупности сигналов. Сообщение августа 2023 года показывает, почему отклонение заявления не может быть концом записи: даже ложное заявление об объёме может указывать на реальный класс активности, когда платформа уже падала под автоматизацией и видела сотни подозрительных попыток переноса.

Уведомления должны были идти за людьми, а не за аккаунтами

Компания уведомляла разные группы с октября 2023 по январь 2024 года по мере развития анализа. В принципе это понятно: масштаб инцидента меняется, и преждевременная уверенность может ввести в заблуждение. Выводы регуляторов были конкретнее. Октябрьские уведомления субъектам связанных профилей не сообщали, что часть информации была выставлена на продажу. Уведомления владельцам напрямую взломанных аккаунтов пришли позже и не всегда описывали все поля настроек аккаунта или период атаки с апреля по сентябрь.

Первоначальные отчёты регуляторам упускали возможность того, что во взломанных аккаунтах пострадали исходная ДНК, отчёты о здоровье и происхождении.

Дизайн уведомлений унаследовал модель данных продукта. Если система реагирования начинается со списка скомпрометированных идентификаторов аккаунтов, она естественным образом сначала свяжется с их владельцами. Но самая большая пострадавшая группа состояла из людей, чьи профили были достигнуты через чужой аккаунт. Учитывающему граф процессу взлома нужен журнал раскрытия: враждебная сессия, исходный аккаунт, просмотренная конечная точка, связанный профиль, доступные поля, извлечённые поля, время, юрисдикция и статус уведомления.

Этот журнал также предотвращает избыточные уведомления. Человек, увидевший чьи-то имя и процент общей ДНК, должен получить уведомление именно об этом, а не общее предупреждение, намекающее на загрузку файла исходного генотипа. Владельцу напрямую взломанного аккаунта с доступом к отчётам о здоровье нужно другое сообщение. Субъект семейного древа, не являющийся владельцем аккаунта, может требовать снова иного юридического и практического пути.

В совместном отчёте сделан вывод, что утечка пересекла пороги уведомления и по канадскому закону PIPEDA, и по британскому GDPR. В нём также отмечены задержки и недостатки содержания по этим режимам. Канадский уполномоченный признал улучшенные меры защиты решением проблемы контроля безопасности, тогда как британский регулятор наложил штраф в 2,31 млн фунтов стерлингов за нарушения, затронувшие 155 592 пользователей в Великобритании и продолжавшиеся до конца 2024 года. (Запись о мерах ICO Великобритании в отношении 23andMe) Штраф — не глобальная цена утечки; он отражает полномочия одного органа, численность населения и правовой анализ.

Локализация данных — это больше, чем расположение сервера

Этот инцидент показывает три разные локализации.

Локализация храненияспрашивает, где физически или по договору находятся персональные данные, образцы, журналы и резервные копии. Это важно для механизмов передачи, доступа государственных органов, рисков поставщиков и ожиданий клиентов. Но ничто в изученных материалах не показывает, что перенос того же продукта без изменений на сервер в другую страну остановил бы использование действующих повторно используемых паролей для открытия тех же профилей.

Локализация доступаспрашивает, где обеспечиваются полномочия. В этом случае решающей границей была логическая: успешная клиентская сессия могла достигать связанных профилей. Более сильная аутентификация, риск сессии, лимиты запросов и авторизация на уровне профиля изменили бы эту локализацию, даже если бы каждый байт остался в том же объекте.

Правовая локализацияспрашивает, какой закон и регулятор применимы к человеку, контролёру данных, обработке и передаче. Канадские и британские органы могли совместно расследовать американскую компанию, потому что были затронуты резиденты Канады и Великобритании и применялись их законы. В их отчёте — отдельные страновые подсчёты, отдельные обязанности уведомления и отдельные выводы. Координация сократила дублирование установления фактов, но не слила PIPEDA и британский GDPR в один закон.

Текущее заявление компании о конфиденциальности различает генетическую информацию, информацию об образцах, информацию, сообщённую самостоятельно, данные аккаунта и выбор обмена, а также предоставляет права и контакты по регионам. Оно также говорит, что удаление аккаунта запускает отказ от исследований и уничтожение образцов с оговоренными ограничениями. Текущая политика полезна для оценки нынешних обязательств, но она не доказывает, что каждый клиент понимал что-то в 2023 году или что исторические меры работали так, как обещано. (Текущее заявление 23andMe о конфиденциальности)

Банкротство сделало правовую локализацию осязаемой. 23andMe Holding Co. и дочерние компании подали заявления по главе 11 в марте 2025 года. Председатель FTC предупредил доверительного управляющего США, что продажа или передача чувствительной генетической информации, образцов, данных о здоровье и родстве должна уважать обещания о конфиденциальности, выборе и удалении. (Письмо FTC о банкротстве 23andMe) Канадский и британский регуляторы отдельно написали американским чиновникам об обязательствах перед людьми в своих юрисдикциях. (Совместное письмо Канады и Великобритании о конфиденциальности при банкротстве)

В июле 2025 года одобренная судом по делам о банкротстве продажа практически всех операционных активов завершилась переходом к TTAM Research Institute, позднее названному 23andMe Research Institute, за 305 млн долларов. Покупатель обязался соблюдать существующий выбор в отношении конфиденциальности, удаления и отказа от исследований; ограничить определённые будущие передачи квалифицированными отечественными организациями, принимающими эти политики; создать консультативный совет по конфиденциальности; и отчитываться о процедурах конфиденциальности. Документ SEC подтверждает закрытие сделки, а материалы о покупке активов описывают меры защиты. (Форма 8-K о закрытии продажи 23andMe)

Эти условия показывают, что управление данными может пережить смену собственника как обязательство, а не переходить как неограниченный актив. Они не делают географию полной защитой и не стирают споры о том, требовалось ли индивидуальное согласие на передачу по закону. Генеральные прокуроры штатов оспаривали предлагаемую продажу; клиентам напомнили о возможностях удаления данных и уничтожения образцов; тем не менее сделка закрылась по решению суда и на согласованных условиях.

Урок не в том, что банкротство автоматически отменяет обещания о конфиденциальности, и не в том, что политика конфиденциальности может уладить любой вопрос кредиторов и законов штатов.

А в том, что условия управления данными, возможность удаления и права по юрисдикциям нужно проектировать до кризиса, когда доказательства и персонал сильнее.

Затраты измеряют разные вещи

23andMe отчиталась о 4,6 млн долларов расходов на инцидент в 2024 финансовом году с зачётом вероятного страхового возмещения в 2,8 млн долларов, преимущественно на технологический консалтинг, юридическую работу и других консультантов. Это затраты компании на реагирование, а не оценка вреда клиентам.

Частные тяжбы породили другой набор цифр. Предложенное урегулирование американского коллективного иска начиналось с невозвратного фонда в 30 млн долларов и перешло в производство по делу о банкротстве. Итоговая структура предусмотрела фонд от 30 до 50 млн долларов, денежные категории для допустимых требований и пять лет мониторинга конфиденциальности, медицинских и генетических данных. Суд по делам о банкротстве окончательно одобрил урегулирование 30 января 2026 года. На официальном сайте урегулирования сказано, что класс охватывает примерно 6,4 миллиона резидентов США, срок подачи денежных требований истёк, а распределение ожидает сверки в рамках банкротства. (Официальный сайт урегулирования по данным 23andMe)

Урегулирование разрешает частные требования и освобождает от покрытых требований согласно своим условиям. Это не судебное установление того, что каждое заявленное в иске утверждение было истинным, а выплаты по урегулированию не являются доказательством того, что заявитель понёс конкретный вред от неправомерного использования генетических данных. Ярлык «мониторинг» не следует принимать за техническую способность обратить раскрытие вспять. Это оговорённая услуга и механизм поддержки риска.

В форме 10-K за 2025 финансовый год описаны совокупные обязательства в 37,5 млн долларов по коллективному, арбитражному и искам в судах штатов в тогдашней структуре, а также судебные и регуляторные риски. Этот документ предшествует итоговым корректировкам банкротства и одобрению, поэтому его не следует подменять более поздним описанием фонда под управлением суда. Он остаётся полезным доказательством того, как множество каналов споров накопилось вокруг одного инцидента. (Форма 10-K компании 23andMe за 2025 финансовый год)

Британский штраф измеряет нарушение публичного права для определённой юрисдикции и периода. Жалоба Калифорнии 2026 года — ещё одно публичное правоприменительное действие, утверждающее нарушения Закона о конфиденциальности генетической информации, Калифорнийского закона о конфиденциальности потребителей, закона о разумной безопасности и законов о защите потребителей. Она также утверждает факты, выходящие за пределы совместного отчёта 2025 года. Это остаётся утверждениями, пока они не признаны или не доказаны.

Частное урегулирование, регуляторный штраф, страховое возмещение и поступления от продажи при банкротстве должны находиться в отдельных колонках; их сложение в один «ущерб от утечки» дало бы финансово опрятную, но юридически бессмысленную сумму.

Исправления стали достаточно конкретными, чтобы их проверять

К 31 декабря 2024 года 23andMe сообщила канадско-британским следователям о внедрении более широкого набора мер. Регуляторы признали меры в совокупности достаточными для устранения выявленных ими проблем безопасности, а британский регулятор с этого момента считал компанию соответствующей соответствующим требованиям безопасности. Это значимый благоприятный вывод с границей: он не удостоверяет вечную эффективность после смены собственника и организационных изменений.

Заявленные изменения включали минимальный пароль из 12 символов, проверку по значительно более крупному корпусу скомпрометированных паролей при регистрации, входе и сбросе, обязательную двухэтапную проверку по электронной почте, защиту загрузки исходных данных и данных о здоровье, 48-часовую задержку перед выдачей исходной ДНК, симуляции подбора паролей, пересмотренный мониторинг, более 253 новых предупреждений SIEM, мониторинг сессий по поведению, мониторинг даркнета, функцию доверенного браузера и загружаемую историю событий аккаунта. Управление продуктом, безопасностью и инженерией также было ужесточено.

Перечень мер — это не результат мер. Полезный следующий шаг — запрашивать доказательства, не требуя эксплуатируемых деталей.

48-часовая задержка иллюстрирует полезное трение в сочетании с надёжным уведомлением и отменой: она лишает враждебную сессию мгновенного извлечения и даёт реальному пользователю время отреагировать. Но задержка без заслуживающего доверия канала связи только откладывает потерю. Проверка даты рождения может добавить формальности, опираясь при этом на информацию, уже видимую в другом месте. Меры следует оценивать как цепочку.

То же относится к обязательной двухэтапной проверке по электронной почте. Она, вероятно, блокирует простую версию этой кампании, когда у злоумышленника есть только пароль 23andMe. Она слабее, когда скомпрометирован и почтовый ящик. Более сильные факторы следует поощрять для всех пользователей и требовать для особенно важных действий. Платформа должна поддерживать пути восстановления для людей, потерявших факторы, не позволяя взаимодействию с поддержкой стать самым лёгким обходом.

Кто что контролировал

Злоумышленникконтролировал решение испытывать украденные учётные данные, входить в аккаунты, автоматизировать функции продукта, собирать профили и публиковать или предлагать информацию. Преступный умысел не переносится на компанию только потому, что меры были слабыми.

Клиенты с повторно используемыми учётными даннымиконтролировали выбор пароля между сервисами и должны были использовать уникальный пароль и доступную MFA. Их ответственность реальна, но ограничена. Они не контролировали мониторинг, авторизацию функций, отмену сессий или число родственников, видимых через их аккаунт.

Связанные родственники и субъекты профилейконтролировали некоторые решения об обмене и необязательные поля. Они не контролировали безопасность каждого совпавшего аккаунта или решение платформы предоставлять широкую видимость после входа только по паролю. Включение функции — это не согласие на враждебную автоматизацию.

23andMeконтролировала базовую аутентификацию клиентов, проверку паролей, дизайн сессий и экспорта, видимость совпадений, телеметрию, сортировку инцидентов, сроки реагирования, картирование данных и уведомления. Она также выбирала модель чувствительности и могла сравнить защиту аккаунтов сотрудников с защитой аккаунтов клиентов. Поэтому практическая ответственность ложится в первую очередь на сервис, хотя именно не компания создала повторно используемые пароли.

Регуляторы и судыконтролировали средства правовой защиты в рамках конкретных законов и производств. Канадский и британский уполномоченные могли делать выводы о мерах защиты и уведомлениях для своих резидентов. Британский орган мог наложить свой штраф. Суд по делам о банкротстве мог одобрить условия продажи и урегулирования. Калифорния может предъявлять требования по праву штата. Никто из них не имеет универсальной юрисдикции над каждым клиентом или каждым вопросом.

Институт-правопреемникконтролирует работающий сервис и унаследовал обязательства по управлению данными после продажи активов. Бывшая публичная холдинговая компания, переименованная в Chrome Holding Co., остаётся значимой для распределений при банкротстве и судебных разбирательств. Чёткие названия имеют значение, потому что клиенты должны знать, какая организация управляет продуктом, какая хранит данные, какая несёт обязательства по урегулированию и какая получает запрос на удаление.

Что остаётся неизвестным

Публичные материалы не содержат полного судебно-технического отчёта, всех журналов инцидентов, полной враждебной инфраструктуры, точного источника учётных данных, всего кода конечных точек или полной истории запросов. Регуляторы прямо отметили отсутствие запрошенных материалов и слабости логирования загрузок исходных данных. Уверенный рассказ должен сохранять эти пробелы.

Не установлено, что собственное хранилище учётных данных 23andMe было взломано. Компания последовательно заявляла, что не нашла признаков того, что пары «имя пользователя — пароль» произошли от неё, а регуляторы описали кампанию подбора паролей с использованием учётных данных, похищенных в других инцидентах.

Не установлено, что были загружены почти семь миллионов файлов исходного генотипа или отчётов о здоровье. Самая большая совокупность касается информации из DNA Relatives, сведений о происхождении и семейных древ. Поля прямых аккаунтов и события с исходными данными — меньшие и отдельно подсчитанные категории.

Не установлено, что каждое объявление злоумышленника было точным, что выбор или маркетинг записей определялся каким-то конкретным идеологическим мотивом или что каждая заявленная запись была уникальной. Тот факт, что информация продавалась с использованием чувствительных категорий происхождения, важен для уведомлений и оценки риска; мотив и дальнейшее использование всё ещё требуют доказательств.

В изученных материалах не установлено, что конкретный человек пострадал от дискриминации при приёме на работу, отказа в страховке, медицинского вреда, преследования со стороны правоохранительных органов или кражи личности из-за этого события. Это возможные опасения вокруг генетических и идентификационных данных, но возможность — не вывод.

Также не установлено, что исправления останутся эффективными бессрочно. Регуляторы признали совокупные меры достаточными на период до конца 2024 года. Банкротство, изменения персонала и переход к новому институту делают постоянную независимую оценку особенно важной. Контроль, прошедший одну проверку, может деградировать из-за изменений конфигурации, бюджетного давления или нового продуктового пути.

Ответственность начинается на краю чужого аккаунта

Инцидент начался с учётных данных, которые сработали. Он стал массовым раскрытием, потому что сервис привязал к этим учётным данным больше полномочий, чем собственная запись напрямую взломанного человека. Это оптика ответственности, которую стоит унести с собой дальше 23andMe.

Любая платформа, построенная вокруг домохозяйств, команд, пациентов, студентов, семейных древ или социальных графов, может раскрыть одного человека через сессию другого. Поэтому правильный знаменатель — не число скомпрометированных аккаунтов. А число людей и записей, достижимых из скомпрометированных полномочий. Правильный контроль — не только более сильный вход. Это более сильный вход в сочетании с ограниченным охватом сессий, обнаружением сбора данных с учётом продукта, надёжными доказательствами экспорта, быстрым сдерживанием и уведомлениями на уровне человека.

Суверенитет данных следует той же логике. Внутренний сервер не создаёт локального контроля, если удалённая сессия может обойти глобальный граф родства. Политика конфиденциальности не сохраняет выбор, если обязательства по удалению, согласию и передаче исчезают при продаже. Правовая юрисдикция не отображается аккуратно на системную архитектуру, поэтому сервис должен нести состояние резидентства, прав и уведомлений вместе с данными.

Самый защитимый вывод уже, чем самый громкий заголовок об утечке, и требовательнее, чем первое объяснение компании. Повторное использование пароля открыло дверь. Дизайн продукта расширил её. Мониторинг не распознал многократные проходы. Реагирование и уведомления закрывали разные её части в разные даты. Более поздние меры, выводы регуляторов и судебные условия создали измеримый перечень ответственности. Остающаяся обязанность — непрерывно доказывать, что аккаунт одного человека больше не может стать дешёвым маршрутом извлечения данных тысяч других жизней.