Miljoenenboete wegens datalek dreigt voor dna-testbedrijf 23andMe
De Britse privacytoezichthouder ICO is voornemens om dna-testbedrijf 23andMe wegens een datalek een boete van omgerekend van 5,5 miljoen euro op te leggen. Onlangs heeft 23andMe in de Verenigde Staten faillissement aangevraagd. Via 23andMe kunnen gebruikers hun dna laten testen om te zien waar hun voorouders vandaan komen en in contact te komen met andere familieleden op het platform. Daarnaast kan er ook worden getest op gezondheidsgerelateerde zaken.
23andMe heeft wereldwijd miljoenen gebruikers, waaronder in Nederland. In 2023 wisten aanvallers via een credential stuffing-aanval op de accounts van veertienduizend gebruikers in te breken. Bij credential stuffing-aanvallen proberen aanvallers of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan.
Nadat de aanvallers toegang tot de accounts hadden gekregen wisten ze vervolgens de afstammingsgegevens van 6,9 miljoen gebruikers te stelen, die gebruik hadden gemaakt van de DNA Relatives-feature. Via deze feature is het mogelijk om andere familieleden op het platform te vinden en meer over de eigen afstamming te weten te komen. Het gaat hier om een optionele feature. Veel gebruikers hebben deze feature echter ingeschakeld, omdat ze juist verwanten via 23andMe willen vinden.
Naar aanleiding van het datalek startte de ICO een onderzoek en begin deze maand liet het 23andMe weten dat het voornemens is een boete van omgerekend 5,5 miljoen euro op te leggen. Het gaat hier om voorlopige bevindingen en het dna-testbedrijf krijgt dan ook de gelegenheid om te reageren, wat invloed op de hoogte van het boetebedrag kan hebben. Nu 23andMe in de Verenigde Staten faillissement heeft aangevraagd zegt de Britse privacytoezichthouder de situatie nauwlettend te monitoren en stelt het in contact te zijn met het bedrijf.
"Genetische data behoort tot de meest gevoelige persoonlijke data die een persoon aan een bedrijf kan toevertrouwen en organisaties die zulke data verwerken moeten een zeer hoge governance en beveiligingsstandaard naleven zoals verplicht door de Britse privacywetgeving", aldus de ICO. De toezichthouder stelt dat de wet nog steeds voor 23andMe geldt. In de VS werden gebruikers opgeroepen om hun gegevens bij het bedrijf te verwijderen. Vorig jaar trof 23andMe wegens het datalek in de VS een schikking van 30 miljoen dollar.
Het is alsof er belangrijke details worden weggelaten, zoals of er überhaupt extra waarborgen komen of dat dit puur een commercieel spelletje is waarbij de privacy van miljoenen gebruikers gewoon ondergeschikt is. Geen wonder dat er steeds meer roep is om actie: klanten worden inmiddels opgeroepen hun accounts te verwijderen, omdat je nooit weet wat er met je data gaat gebeuren als deze in verkeerde handen valt.
Slechte ontwikkeling
Iedereen die kan nadenken weet dat dit vroeg of laat zal gebeuren en kiest er voor om zijn DNA te delen aan de hoogste bieder. Dat is de reden waarom commerciële partijen zo lastig te vertrouwen zijn met persoonlijke gegevens.
De titel zegt al dat het gaat om een 'DNA-test BEDRIJF', dus geen semi-overheidszorginstelling. Al kunnen die ook gewoon je DNA verwerken.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
