23andMe aceptará pagar 30 millones de dólares para resolver una demanda por una importante violación de datos.
Tres años de supervisión de la seguridad.
23andMe acordó pagar $30 millones para resolver una demanda colectiva relacionada con una violación de datos que comprometió la información de más de 6.9 millones de clientes. Como parte del acuerdo propuesto, la plataforma de pruebas genéticas compensará a los usuarios afectados y les ofrecerá acceso a un programa de monitoreo de seguridad durante tres años.
La compañía reveló el incidente de seguridad en octubre de 2023, aunque no fue hasta diciembre que confirmaron la magnitud completa de la violación. Aquellos que utilizaron la función de parientes de ADN pueden haber tenido expuesta información como nombres, años de nacimiento e historial de ascendencia. 23andMe atribuyó la brecha a un ataque de "credential stuffing", una técnica que implica acceder a cuentas mediante credenciales recicladas de violaciones de seguridad previas.
En enero de 2024, un grupo de clientes presentó una demanda colectiva contra 23andMe en un tribunal de San Francisco, acusando a la empresa de no proteger adecuadamente su privacidad. Además, sostuvieron que la compañía no notificó de manera adecuada a los clientes de ascendencia china o judía ashkenazí que parecían ser blanco de los atacantes, quienes pusieron su información a la venta en la dark web.
La violación ha afectado gravemente a la empresa, la cual ya enfrentaba problemas. A medida que el precio de sus acciones seguía cayendo, la CEO de 23andMe, Anne Wojcicki, intentó llevar a la compañía a un estatus privado a principios de este año; sin embargo, el comité especial rechazó su oferta el mes pasado. El acuerdo menciona preocupaciones sobre la situación financiera de la empresa, indicándose que “cualquier juicio litigado significativamente mayor que el acuerdo probablemente no sería cobrado”.
Katie Watson, representante de 23andMe, declaró que la compañía espera que el seguro cibernético cubra $25 millones de la compensación total. Según su comunicación, "Hemos ejecutado un acuerdo de conciliación por un pago en efectivo agregando $30 millones para resolver todas las reclamaciones en EE. UU. relacionadas con el incidente de seguridad por credential stuffing de 2023". La aprobación judicial del acuerdo propuesto aún está pendiente.
- violación de datos
- acuerdo de conciliación
- privacidad del usuario