Hacker veröffentlicht in Cybercrime-Forum weitere Datensätze von Millionen 23andMe-Nutzern

• Ein Hacker namens Golem hat in dem Cybercrime-Forum BreachForums weitere Millionen von Nutzerdatensätzen des Gentest-Unternehmens 23andMe veröffentlicht.
• Dies ist in den vergangenen Wochen der zweite größere Leak bei 23andMe; derselbe Hacker hatte bereits zuvor eine beträchtliche Menge an Nutzerdaten veröffentlicht.
• Das neu geleakte Datenset soll Datensätze von 4 Millionen Nutzern enthalten, darunter wohlhabende Personen aus dem Vereinigten Königreich, den USA und Westeuropa.
• 23andMe hat den Vorfall bestätigt und prüft derzeit die Echtheit der Daten.
• Das Unternehmen hatte zuvor erklärt, dass der ursprüngliche Datenabfluss durch Credential Stuffing verursacht wurde, bei dem Kombinationen aus Benutzernamen oder E-Mail-Adressen und Passwörtern aus anderen Datenlecks verwendet werden.
• Als Reaktion auf diese Vorfälle fordert 23andMe seine Nutzer auf, ihre Passwörter zu ändern und Multi-Faktor-Authentifizierung zu aktivieren.
• Das Unternehmen hat mit Unterstützung externer forensischer Experten eine Untersuchung eingeleitet.
• Wie viele Nutzerdaten insgesamt gestohlen wurden und wie die Hacker die gestohlenen Daten verwenden wollen, ist weiterhin unklar.
• Ein Hacker im anderen Cybercrime-Forum Hydra hatte zuvor behauptet, über 300 Terabyte an 23andMe-Nutzerdaten zu verfügen, doch diese Behauptung ist bislang unbestätigt.
• Das volle Ausmaß des Datenlecks ist noch nicht bekannt, und es ist unklar, wie viele Daten tatsächlich entwendet wurden.

[GN⁺]

Hacker-News-Kommentare

• Ein Artikel über eine Datenschutzverletzung bei 23andMe, bei der Millionen von Nutzerdatensätzen in einem Cybercrime-Forum veröffentlicht wurden.
• 23andMe machte die Wiederverwendung von Passwörtern und die optionale Funktion DNA Relatives für den Vorfall verantwortlich; diese ermöglicht es Nutzern, Daten anderer Nutzer mit übereinstimmenden genetischen Daten einzusehen.
• Die Kommentierenden kritisierten, dass 23andMe die Kunden beschuldige, und argumentierten, das Unternehmen hätte bessere Sicherheitsmaßnahmen bereitstellen müssen.
• Einige wiesen darauf hin, dass die Freigabeoptionen im DNA-Relatives-Programm nicht granular genug seien und dass die Beschränkung auf die Anzeige der 1500 nächsten Übereinstimmungen es Hackern ermöglicht haben könnte, Daten der meisten Personen in der Datenbank zu sammeln.
• Andere bereuten die Nutzung von 23andMe wegen Datenschutzbedenken und mangelndem Vertrauen in den Umgang des Unternehmens mit Daten.
• Es gab auch Kommentare zum Versäumnis des Unternehmens, das Abfließen von 300 TB Kundendaten zu erkennen; einige hielten dies für Fahrlässigkeit.
• Einige Nutzer schlugen vor, 23andMe hätte zur Verbesserung der Sicherheit 2FA verpflichtend machen oder Google Single Sign-On (SSO) verwenden sollen.
• Einige wenige Nutzer teilten mit, dass sie bei der Übermittlung ihrer Ergebnisse an 23andMe falsche Namen und Wegwerf-E-Mail-Adressen verwendet hätten.
• Außerdem wurden verwandte Vorfälle und Klagen im Zusammenhang mit der Datenschutzverletzung bei 23andMe erwähnt.