23andMe acuerda pagar $18 millones tras una brecha que expuso datos genéticos de 6.9 millones de usuarios por falta de medidas básicas de seguridad.
23andMe, empresa de pruebas genéticas, acordó pagar 18 millones de dólares para resolver una demanda colectiva de 43 fiscales generales que la acusaron de no proteger adecuadamente los datos genéticos de sus clientes. La compañía reveló en octubre de 2023 una brecha masiva tras ataques de relleno de credenciales que permanecieron sin detección durante cinco meses, exponiendo información sensible de 6.9 millones de usuarios.
Por qué importa: La falta de medidas básicas de seguridad en 23andMe permitió el robo y la venta de datos genéticos, un tipo de información altamente sensible y personal.
Lo esencial
La brecha ocurrió entre abril y septiembre de 2023, afectando a 6.9 millones de clientes.
23andMe carecía de controles básicos como autenticación multifactor y bloqueo de contraseñas comprometidas.
El acuerdo incluye nuevas obligaciones de seguridad y derechos para que los usuarios eliminen sus datos.
Imagen de referencia: BleepingComputer.
Fallas críticas en seguridad y respuesta tardía
La investigación multijurisdiccional reveló que 23andMe no implementó medidas esenciales contra ataques basados en credenciales, como limitación de intentos de acceso, monitoreo de intrusiones o detección de brechas. Además, la empresa ignoró señales de actividad inusual y vulnerabilidades conocidas. Inicialmente negó la brecha y culpó a los usuarios por prácticas inseguras, lo que retrasó la respuesta y agravó el impacto.
Consecuencias legales y financieras
Además del acuerdo de 18 millones, 23andMe enfrentó múltiples demandas colectivas y multas regulatorias. En septiembre de 2024, pagó 30 millones para resolver otra demanda relacionada. La empresa se declaró en bancarrota en marzo de 2025, lo que complicó la protección de datos de sus clientes y motivó acciones legales adicionales por parte de fiscales generales. En el Reino Unido, la Oficina del Comisionado de Información impuso una multa de 2.31 millones de libras por fallos graves en seguridad.
Medidas para proteger datos genéticos
El acuerdo obliga a 23andMe a establecer un consejo asesor de seguridad, implementar protocolos rigurosos de análisis de riesgos y mantener derechos claros para que los consumidores puedan eliminar su información genética. Estas medidas buscan evitar futuros incidentes y restaurar la confianza en el manejo de datos altamente sensibles.
Preguntas frecuentes sobre 23andMe y la brecha genética
¿Qué tipo de datos fueron expuestos?
Se filtraron datos de ascendencia genética y perfiles personales de 6.9 millones de usuarios, algunos de los cuales fueron puestos a la venta en la dark web.
¿Qué fallos de seguridad permitieron la brecha?
La falta de autenticación multifactor, ausencia de bloqueo de contraseñas comprometidas y la falta de monitoreo efectivo permitieron que los atacantes accedieran sin ser detectados durante meses.
