Vụ rò rỉ dữ liệu 23andMe: Hàng triệu thông tin di truyền bị rao bán trên Dark Web

Trong kỷ nguyên số, các dịch vụ xét nghiệm tổ tiên trực tuyến đã trở nên phổ biến, mang đến cái nhìn sâu sắc về nguồn gốc di truyền. Tuy nhiên, việc cung cấp dữ liệu sinh trắc học nhạy cảm như DNA tiềm ẩn những rủi ro bảo mật nghiêm trọng. Mới đây, một vụ vi phạm dữ liệu chấn động đã phơi bày nguy cơ này khi thông tin di truyền của hàng triệu người dùng 23andMe, một trong những công ty hàng đầu trong lĩnh vực này, bị rao bán công khai trên dark web.

Dữ liệu di truyền của bạn đang bị rao bán trực tuyến

Firm xét nghiệm DNA 23andMe đã hứng chịu một cuộc tấn công dữ liệu quy mô lớn vào năm 2023, dẫn đến việc rò rỉ thông tin di truyền của hàng triệu khách hàng. Tin tặc đã đột nhập thành công vào 14.000 tài khoản cá nhân và đánh cắp dữ liệu liên quan đến khoảng 6,9 triệu cá nhân được liệt kê là có mối quan hệ gia đình trên trang web của công ty.

Các dữ liệu bị đánh cắp bao gồm một loạt thông tin nhạy cảm:

• Tên đầy đủ
• Ngày sinh
• Thông tin địa lý
• Ảnh hồ sơ
• Chủng tộc
• Báo cáo sức khỏe
• Sắc tộc
• Cây phả hệ

Sau vụ vi phạm dữ liệu nghiêm trọng này, Văn phòng Ủy viên Thông tin Vương quốc Anh (ICO) và Văn phòng Ủy viên Quyền riêng tư Canada (OPC) đã công bố một cuộc điều tra chung vào tháng 6 năm 2024. Một năm sau, cuộc điều tra kết thúc với phán quyết phạt 23andMe 2,31 triệu bảng Anh (khoảng 3,13 triệu USD) vì “vi phạm gây tổn hại sâu sắc”, theo công bố của ICO.

Logo của 23andMe trên trang web của công ty, tượng trưng cho dịch vụ xét nghiệm DNA bị ảnh hưởng bởi vụ rò rỉ dữ liệu

Cuộc điều tra cũng chỉ ra những sai sót nghiêm trọng về bảo mật tại thời điểm xảy ra vụ việc. Công ty đã không áp dụng các biện pháp xác thực phù hợp, thiếu xác thực đa yếu tố (MFA) bắt buộc và yêu cầu mật khẩu lỏng lẻo. 23andMe cũng không có bất kỳ biện pháp nào để ngăn chặn việc truy cập và tải xuống dữ liệu di truyền thô, đồng thời không có “hệ thống hiệu quả để giám sát, phát hiện hoặc phản hồi các mối đe dọa mạng nhắm vào thông tin nhạy cảm của khách hàng”.

Ông John Edwards, Ủy viên Thông tin Vương quốc Anh, đã nhận định rõ ràng: “23andMe đã thất bại trong việc thực hiện các bước cơ bản để bảo vệ thông tin này. Hệ thống bảo mật của họ không đầy đủ, các dấu hiệu cảnh báo đã xuất hiện, và công ty đã phản ứng chậm trễ. Điều này khiến dữ liệu nhạy cảm nhất của người dùng dễ bị khai thác và gây hại.”

Thái độ thiếu nghiêm túc của 23andMe trong việc thừa nhận vụ vi phạm cũng bị chỉ trích. Vụ rò rỉ bắt đầu từ tháng 4 năm 2023 và kéo dài đến tháng 5 năm 2023. Tuy nhiên, công ty đã không xác nhận vi phạm và bắt đầu điều tra toàn diện cho đến tháng 10 năm 2023, sau khi một nhân viên phát hiện dữ liệu bị đánh cắp được rao bán trên Reddit.

Bảo vệ dữ liệu cá nhân bắt đầu từ bạn

Khác với mật khẩu và các thông tin khác thường bị rò rỉ trong các vụ vi phạm dữ liệu, bạn không thể đơn giản thay đổi dữ liệu di truyền của mình. Một khi dữ liệu này bị lộ, bạn về cơ bản đã bị tổn hại vĩnh viễn.

Một người đang nhập mật khẩu an toàn trên màn hình điện thoại thông minh, nhấn mạnh tầm quan trọng của việc sử dụng mật khẩu mạnh và xác thực đa yếu tố để bảo vệ dữ liệu cá nhân

Mặc dù có rất ít điều bạn có thể làm trong trường hợp dữ liệu di truyền bị lộ ngoài việc cảnh giác với các nỗ lực lừa đảo hoặc đánh cắp danh tính, bạn vẫn có thể cố gắng tự bảo vệ mình khỏi các vi phạm trong tương lai. Việc thiết lập xác thực đa yếu tố (MFA) cho các tài khoản trực tuyến và sử dụng mật khẩu mạnh, duy nhất cho mỗi tài khoản là những bước cơ bản nhất bạn nên thực hiện để bảo vệ dấu chân kỹ thuật số của mình, bất kể nhà cung cấp dịch vụ có yêu cầu hay không.

Ngoài ra, hãy cố gắng tránh sử dụng các dịch vụ trực tuyến yêu cầu quá nhiều thông tin nhạy cảm ngay từ đầu. Chắc chắn, việc tìm hiểu về tổ tiên của bạn nghe có vẻ thú vị, nhưng sự tò mò này không đáng để đánh đổi với thông tin di truyền cực kỳ nhạy cảm, có thể bị lợi dụng cho mọi loại mục đích xấu.

Việc dữ liệu di truyền cá nhân bị rao bán trên dark web là một lời cảnh tỉnh nghiêm khắc về rủi ro của việc chia sẻ thông tin nhạy cảm với các dịch vụ trực tuyến. Vụ việc của 23andMe không chỉ nhấn mạnh trách nhiệm của các công ty trong việc bảo vệ dữ liệu khách hàng mà còn nhắc nhở mỗi cá nhân về tầm quan trọng của việc chủ động tự bảo vệ thông tin của mình trong môi trường kỹ thuật số đầy rẫy hiểm nguy. Hãy luôn cân nhắc kỹ lưỡng trước khi tiết lộ bất kỳ thông tin cá nhân nào trên internet.

Bạn nghĩ sao về vụ rò rỉ dữ liệu này và những biện pháp bảo mật mà các dịch vụ xét nghiệm DNA cần thực hiện? Hãy chia sẻ ý kiến của bạn dưới phần bình luận.