Es muy probable que hayas escuchado hablar de 23andMe, una compañía dedicada a ofrecer pruebas genéticas al mercado consumidor realizadas a través de un muestreo de saliva. A través de este servicio los clientes obtenían información sobre sus orígenes étnicos, así como también su propensión o resistencia a cierto tipo de enfermedades.
Recientemente la compañía ha tenido que anunciar que un grupo de criminales informáticos accedió a las cuentas del 0,1% de sus clientes. Lo que no parece mucho, pero supone algo así como 14 mil personas.
Además, a través de estas cuentas los criminales también habrían podido obtener datos de otros usuarios. En el reporte inicial la empresa no realizó estimación alguna sobre el total de afectados en este segundo grupo. Sin embargo, 23andMe ha señalado recientemente que el total sería de 6,9 millones. La empresa tiene unos 14 millones de usuarios, por lo que en la práctica el ataque habría afectado al 50% del total, no al 0,1%.
Datos en la dark web
Entre la información filtrada se encuentran los árboles familiares, las fechas de nacimiento y las ubicaciones reportadas. Este tipo de datos a menudo termina siendo ofrecido en algún rincón de la dark web. En el caso de 23andMe, paquetes de información de sus usuarios han aparecido en foros de actividades ilegales meses antes de que la empresa reportara lo ocurrido.
Vulnerabilidad
Según la empresa el ataque fue posible debido al re uso de claves por parte de los usuarios. Las claves aparecían en otros servicios que habían sido hackeados previamente. Pero eso no explica la magnitud de lo ocurrido. Es la forma en que está estructurado el servicio la que ha provocado el desastre. El acceso a una cuenta permite obtener datos no solo del usuario principal, sino de sus familiares. Y ocurre que en el mundo, todos estamos más cerca de lo que creemos.
