42州の司法長官による連合体は、2023年10月に発生し顧客690万人に影響を及ぼしたデータ侵害を巡り、23andMe(現Chrome Holding Co.)によるサイバーセキュリティ上の不備を問題視し、1,800万ドルの和解に合意しました。この和解には、消費者データをより適切に保護し、今後の情報漏えいを防止するための新たなデータセキュリティ対策を導入するという約束も含まれています。
23andMeで発生したデータ侵害は、クレデンシャルスタッフィング(パスワードリスト攻撃)によるものでした。これは、他の企業で発生したデータ侵害によって流出した認証情報を使い、無関係な別のプラットフォームへの不正アクセスを試みる手口です。こうした攻撃は、利用者が複数のアカウントで同じ認証情報を使い回している場合にのみ成功します。このクレデンシャルスタッフィング攻撃が発覚した当初、23andMeは侵害の事実を否定し、アカウントが乗っ取られたのは顧客側のセキュリティ対策の甘さが原因だと主張していました。
23andMeの顧客が同サイトで認証情報を使い回すというリスクを取っていたことは事実ですが、複数州による合同調査の結果、23andMe自身にも、認証情報を悪用した攻撃を防ぐための基本的なセキュリティ対策を怠っていたという落ち度があったことが判明しました。例えば、23andMeは利用者のパスワードを既知の漏えいパスワードのブロックリストと照合しておらず、多要素認証も義務付けておらず、レート制限や侵入防止の仕組みも導入していませんでした。さらに、ログの記録や監視も不十分だったため、2023年4月から9月までの5カ月間、クレデンシャルスタッフィング攻撃が発覚しないまま続いていました。また、ログイン試行回数の急増というクレデンシャルスタッフィング攻撃特有の異常なログインパターンについても、調査や対応を怠っていたことが分かっています。この調査ではさらに、既知の脆弱性を修正していなかったことや、プラットフォームの設計上の機能を適切にレビュー・テストしていなかったことも明らかになりました。
23andMeは2025年3月に破産保護を申請し、同社のデータは、23andMeの創業者で元CEOのアン・ウォジスキ氏が設立した新会社TTAM Researchに売却されました。連合体は23andMeの破産手続き中に同社を提訴しており、新たなデータセキュリティ要件は、現在「23andMe Research Institute」として登録されているTTAMにも適用されます。今回の1,800万ドルの和解金は参加各州に支払われる予定で、ニューヨーク州は70万5,000ドル超を受け取る見込みです。
ニューヨーク州司法長官のジェームズ氏は次のように述べています。「企業には、顧客の個人情報をハッカーから守る義務があります。それにもかかわらず、23andMeはずさんなセキュリティ対策によって数百万人もの顧客を危険にさらしました。ニューヨーク州民は、自らの機微な遺伝子データを23andMeに託していましたが、そのデータは盗まれ、インターネットの闇の片隅で売りに出される事態となりました。私たち連合体の取り組みの結果、23andMeは法令違反の代償を支払うことになり、今後は顧客を守るための厳格なルールが課されることになります」
23andMeはこれまでにも、今回のデータ侵害の被害者への補償として4,675万ドルの支払いに合意しているほか、同じ情報漏えいを巡り、スペイン(275万ドル)および英国(310万ドル)のデータ保護当局からそれぞれ制裁金を科されています。カリフォルニア州は今回の複数州合同訴訟には参加せず、独自に提訴していましたが、破産裁判所の判事は今月、同州の章11(チャプター・イレブン)再建計画により、同州が金銭的救済を求めることはできないとの判断を下しました。
翻訳元: https://www.hipaajournal.com/23andme-settlement-multistate-data-breach-lawsuit/
