スペイン、23andMeに約300万ドルの制裁金 2023年ハッキングを許したセキュリティ不備で

23andMeの経営陣が2023年4月のデータ侵害を把握したのは、ハッキングされたデータのサンプルを何者かがRedditで販売しようとした後だったことが、スペインのデータ保護規制当局が科した240万ユーロ(270万ドル)の制裁金に関連する執行決定文で明らかになりました。

スペインのデータ保護庁(Agencia Española de Protección de Datos、AEPD)は金曜日にこの制裁金を発表し、決定文の中で、世界全体で690万人に影響を及ぼした今回の侵害により、スペイン国内でも2,600人以上が被害を受けたと述べています。 

決定文によると、23andMeがハッキングをスペイン当局に通知したのは、事態を把握してから12日後だったといいます。決定文は、早期の被害軽減の重要性を踏まえ、迅速な通知の必要性は「軽視できない」と指摘しています。

決定文は、同社のずさんなセキュリティ対策と、機密性の高い遺伝子データに対する適切な保護措置の欠如が、一般データ保護規則(GDPR)の要件を満たしていなかったと指摘し、クレデンシャルスタッフィング攻撃を許した主要因として多要素認証の義務化がなされていなかった点を挙げています。

決定文によれば、同社はIPアドレスごとのデータへのアクセス、リクエスト、ダウンロードについても制限を設けていませんでした。

こうしたセキュリティ上の不備は、規制当局が同社のウェブサイトで発見した2023年5月の会計報告書において、23andMe自身がランサムウェアをはじめとするサイバー脅威について詳細に言及していただけに、際立った内容となっています。

スペイン当局の決定文によると、その会計報告書には「世界的なサイバーセキュリティ脅威の増大、および巧妙化・標的化するサイバー犯罪は、当社のシステムおよびネットワークのセキュリティ、さらには当社データの機密性、可用性、完全性に対するリスクとなっている」と記載されていました。

23andMeは同報告書の中で、顧客データの流出につながるセキュリティやプライバシーの侵害が発生した場合、「侵害通知法を遵守する必要が生じ、対応のための多額のコストが発生する可能性がある……また、将来の再発防止、保険料の上昇の可能性、セキュリティ監査やフォレンジック調査についても同様である」と述べています。

規制当局の決定文は、23andMeのプライバシーポリシーにおいてアカウントのアクセス認証情報に関する記述が1箇所しかなく、「パスワードの強度に関する形式面の具体的な要件も、定期的な変更を求める規定も一切示されていない」と指摘しています。

23andMeは7月15日、42州の司法長官連合と1,800万ドルで和解し、同社の前CEOであるAnne Wojcicki氏が率いる非営利のスピンオフ組織である23andMe Research Instituteにおいて、新たなデータ保護対策を実施することを約束しました。