A empresa de testes genéticos 23andMe recentemente se viu no centro de uma questão de segurança de dados, com a divulgação de que cerca de 6,9 milhões de contas de usuários foram comprometidas. A questão surgiu após um incidente em outubro do ano passado, onde dados pessoais e sensíveis dos usuários foram acessados indevidamente.

De acordo com a 23andMe, o vazamento de dados não se deveu a uma falha direta em seus sistemas, mas sim ao uso, por parte dos usuários, de credenciais de acesso (senhas e e-mails) que já haviam sido expostas em outras violações de dados em serviços diferentes. Este método de ataque, conhecido como “credential stuffing”, aproveita-se de senhas e emails já comprometidos em outras plataformas para acessar contas em diversos serviços.

Após identificar o problema, a 23andMe agiu resetando as senhas dos usuários afetados e incentivando a adoção da autenticação de dois fatores (2FA) – uma prática agora obrigatória para todos os usuários do serviço.

Uma investigação interna revelou que os hackers conseguiram acessar os dados de milhões de usuários através do login em aproximadamente 14 mil contas. Este alcance extenso foi possível devido ao recurso opcional DNA Relatives da 23andMe, que permite aos usuários compartilhar informações genéticas e pessoais com outros usuários, potencialmente parentes distantes. A maioria dos usuários optou por compartilhar uma quantidade significativa de suas informações através deste recurso.

Este incidente levanta questões importantes sobre a segurança de dados em serviços online, especialmente aqueles que lidam com informações pessoais e sensíveis. Ressalta a necessidade de práticas robustas de segurança por parte dos usuários, como a utilização de senhas únicas para diferentes serviços e a ativação de medidas de segurança adicionais como a 2FA. Ao mesmo tempo, coloca em evidência a responsabilidade das empresas em proteger os dados de seus clientes e em orientá-los sobre práticas seguras de gerenciamento de informações pessoais.