Birleşik Krallık Bilgi Komiserliği Ofisi (ICO), genetik test hizmeti sunan 23andMe şirketine, 2023 yılında yaşanan büyük çaplı veri ihlali nedeniyle 2.31 milyon sterlin (yaklaşık 3.12 milyon dolar) para cezası verdi. Kurum, şirketin ciddi güvenlik açıkları nedeniyle milyonlarca kişinin genetik verisinin sızdırıldığını açıkladı.
Genetik Bilgiler Yetersiz Güvenlik Önlemleri Nedeniyle Sızdırıldı
ICO, 23andMe şirketinin kullanıcı hesaplarını yeterince koruyamadığını ve 2023 yılının nisan ile eylül ayları arasında yaşanan siber saldırıların beş ay boyunca fark edilmediğini belirtti. Saldırganlar, başka kaynaklardan çalınmış kullanıcı adı ve şifreleri kullanarak binlerce hesaba giriş yaptı. Erişim sağladıkları hesaplarda kişisel bilgiler, soy geçmişi raporları ve genetik sağlık verileri gibi son derece hassas bilgiler yer alıyordu.
UK Bilgi Komiseri John Edwards, bu olayın sadece kişisel değil, ailevi ve tıbbi gizliliği de tehdit ettiğini vurguladı. Edwards, “Bir şifre ya da kredi kartı bilgisi gibi değiştirilemeyecek veriler ifşa oldu. Bu ihlalin etkisi çok derin” ifadelerini kullandı.
Şirketin ihlalle ilgili bilgilendirme mektuplarına göre, sızdırılan verilerin bir kısmı 23andMe’nin resmi olmayan subreddit sayfasında ve BreachForums adlı yasa dışı forumda yayınlandı. Sızıntı, Birleşik Krallık ve Almanya’da yaşayan yaklaşık 4.1 milyon kişiyi etkiledi. Ayrıca 1 milyon Aşkenazi Yahudisine ait verilerin de bu sızıntıya dahil olduğu bildirildi.
Şirket, olayın ardından iki faktörlü kimlik doğrulamayı varsayılan olarak etkinleştirdi ve tüm kullanıcıların parolalarını sıfırlamasını zorunlu kıldı. Ancak ICO, bu adımların olay sonrası alınan geçici önlemler olduğunu belirtti. Verilen cezanın, şirketin finansal durumu ve olayın ciddiyeti göz önünde bulundurularak belirlendiği açıklandı.
Kaliforniya merkezli şirket, Mart 2025’te iflas başvurusunda bulunarak varlıklarını satacağını duyurdu. Veri ihlali sonrasında şirket aleyhine çok sayıda toplu dava açıldı. Kasım 2023’te hizmet şartlarını değiştiren 23andMe, bu değişikliğin yalnızca tahkim süreçlerini sadeleştirmeye yönelik olduğunu savundu. Ancak bu hamle, dava süreçlerini zorlaştırmakla eleştirildi.
Eylül 2024’te 23andMe, dünya genelinde 6.4 milyon kullanıcıyı etkileyen veri sızıntısıyla ilgili bir davada 30 milyon dolar ödemeyi kabul etti. Şirketin zayıf güvenlik önlemleri nedeniyle genetik gizlilik alanında uzun süre konuşulacak bir örnek oluşturduğu değerlendiriliyor.
