基因检测服务公司 23andMe 就 2023 年数据泄露事件达成和解，同意支付 1800 万美元赔偿

IT之家 7 月 20 日消息，根据美国纽约州总检察长 Letitia James 于 7 月 14 日发布的公告，个人基因检测服务公司 23andMe 已就 2023 年发生的数据泄露事件，与纽约州等 43 位州检察长达成和解协议，同意支付 1800 万美元（IT之家注：现汇率约合 1.22 亿元人民币）赔偿金。据介绍，这起数据泄露事件发生于 2023 年 10 月。当时黑客利用撞库方式成功登录约 1.4 万个 23andMe 账户，并进一步利用 23andMe 提供的 DNA Relatives（DNA 亲属匹配）以及 Family Tree（家族树）功能访问并获取更多用户相关数据，导致 690 万名客户数据泄露，部分泄露数据随后还被上传至暗网进行交易。纽约州等 43 个州检察长展开联合调查后发现，23andMe 在安全防护方面存在多项不足。23andMe 并未主动检查用户密码是否出现在已知泄露密码数据库中，也没有强制要求用户启用多因素认证（MFA），同时缺乏足够的登录尝试频率限制、防入侵措施，以及用于发现数据泄露行为的日志记录和监控机制。根据和解协议，23andMe 及相关机构需要采取进一步的数据安全措施，包括进行风险评估、成立数据安全咨询委员会，并持续向消费者提供删除个人数据的权利。事实上，23andMe 的数据泄露事件曾一度引发外界对基因检测企业数据安全问题的关注。由于基因信息具有不可更改、长期关联个人身份等特点，一旦泄露，其潜在影响可能持续多年，因此相关企业的数据保护责任相当重要。