Hacker tiếp tục làm rò rỉ thêm hồ sơ của hàng triệu người dùng 23andMe trên diễn đàn tội phạm mạng

• Một hacker có tên Golem đã làm rò rỉ thêm hàng triệu hồ sơ người dùng của công ty xét nghiệm di truyền 23andMe trên diễn đàn tội phạm mạng BreachForums.
• Đây là vụ rò rỉ lớn thứ hai liên quan đến 23andMe trong vài tuần gần đây; trước đó cùng hacker này cũng đã làm rò rỉ một lượng đáng kể dữ liệu người dùng.
• Bộ dữ liệu mới bị rò rỉ được cho là bao gồm hồ sơ của 4 triệu người dùng, trong đó có các cá nhân giàu có tại Anh, Mỹ và Tây Âu.
• 23andMe đã thừa nhận vụ rò rỉ này và hiện đang xác minh tính xác thực của dữ liệu.
• Công ty trước đó cho biết vụ rò rỉ dữ liệu ban đầu là do kỹ thuật credential stuffing, sử dụng tổ hợp tên người dùng hoặc email và mật khẩu từ các vụ rò rỉ dữ liệu khác.
• Để ứng phó với các vụ rò rỉ này, 23andMe đã yêu cầu người dùng đổi mật khẩu và kích hoạt xác thực đa yếu tố.
• Công ty đã bắt đầu điều tra với sự hỗ trợ của các chuyên gia pháp y số bên thứ ba.
• Hiện vẫn chưa rõ tổng cộng đã có bao nhiêu dữ liệu người dùng bị đánh cắp, cũng như hacker dự định sử dụng số dữ liệu bị đánh cắp đó như thế nào.
• Một hacker trên diễn đàn tội phạm mạng khác có tên Hydra trước đó từng tuyên bố đang nắm giữ 300 terabyte dữ liệu người dùng 23andMe, nhưng tuyên bố này vẫn chưa được xác minh.
• Toàn bộ phạm vi của vụ rò rỉ dữ liệu vẫn chưa được biết rõ, và cũng chưa rõ có bao nhiêu dữ liệu đã bị lấy đi.

[GN⁺]

Ý kiến trên Hacker News

• Bài viết về vụ vi phạm dữ liệu tại 23andMe, trong đó hồ sơ của hàng triệu người dùng bị rò rỉ trên một diễn đàn tội phạm mạng.
• 23andMe đổ lỗi vụ việc cho việc tái sử dụng mật khẩu và tính năng tùy chọn DNA Relatives, vốn cho phép người dùng xem dữ liệu của những người dùng khác có dữ liệu di truyền trùng khớp.
• Những người bình luận chỉ trích việc 23andMe đổ lỗi cho khách hàng và cho rằng công ty lẽ ra phải có các biện pháp bảo mật tốt hơn.
• Một số người chỉ ra rằng các tùy chọn chia sẻ trong chương trình DNA Relatives thiếu tính chi tiết, và giới hạn chỉ xem được 1.500 kết quả khớp gần nhất có thể đã khiến hacker thu thập được dữ liệu của phần lớn mọi người trong cơ sở dữ liệu.
• Một số khác hối hận vì đã sử dụng 23andMe do lo ngại về quyền riêng tư và thiếu niềm tin vào cách công ty xử lý dữ liệu.
• Cũng có bình luận về việc công ty không phát hiện được vụ rò rỉ 300TB dữ liệu khách hàng, và một số người xem դա là sự cẩu thả.
• Một số người dùng đề xuất 23andMe lẽ ra nên bắt buộc xác thực hai yếu tố (2FA) hoặc sử dụng Google Single Sign-On (SSO) để tăng cường bảo mật.
• Một số ít người dùng chia sẻ rằng họ đã dùng tên giả và địa chỉ email dùng một lần khi gửi kết quả của mình cho 23andMe.
• Ngoài ra còn có đề cập đến các sự việc liên quan và các vụ kiện liên quan đến vụ vi phạm dữ liệu của 23andMe.