कैलिफ़ोर्निया ने 23andMe पर मुकदमा दायर किया, आरोप लगाया कि यह 2023 उल्लंघन में उपयोगकर्ता डेटा की सुरक्षा करने में विफल रहा

कैलिफ़ोर्निया के अटॉर्नी जनरल ने आनुवंशिक परीक्षण कंपनी जिसे पहले 23andMe के नाम से जाना जाता था, पर गुरुवार को मुकदमा दायर किया, जिसमें आरोप लगाया गया कि यह 2023 के उल्लंघन में संवेदनशील उपयोगकर्ता डेटा की रक्षा करने में विफल रही, जिसने देश भर में लगभग 7 मिलियन लोगों को प्रभावित किया।

अटॉर्नी जनरल रॉब बोंटा ने क्रोम होल्डिंग कंपनी के खिलाफ मुकदमा दायर किया, जिसे पिछले मार्च में दिवालियापन के लिए दायर करने के बाद 23andMe के तहत पुनः ब्रांड किया गया था। 23andme अपने प्रत्यक्ष-से-उपभोक्ता डीएनए परीक्षण किट के लिए जाना जाता है जो ग्राहकों को कुछ स्वास्थ्य स्थितियों के लिए उनकी वंशावली और आनुवंशिक प्रवृत्तियों के बारे में जानकारी प्रदान करता है।

मुकदमे में 23andMe के खिलाफ विभिन्न नागरिक दंडों और कंपनी को कैलिफ़ोर्निया के गोपनीयता संरक्षण कानूनों के उल्लंघन से रोकने के लिए निषेधाज्ञा की मांग की गई है।

कंपनी ने स्वीकार किया है कि 2023 में उसे एक बड़े सुरक्षा उल्लंघन का सामना करना पड़ा, जिसके परिणामस्वरूप लगभग 14,000 खातों तक पहुंच हो गई, जिसके माध्यम से वे लगभग 7 मिलियन ग्राहकों का डेटा चुराने में सक्षम थे। साइबर हमले में “क्रेडेंशियल स्टफिंग” का उपयोग किया गया, जो ग्राहकों की कमजोर या सामान्य पासवर्ड का उपयोग करने या कई खातों के बीच पासवर्ड का पुन: उपयोग करने की प्रवृत्ति का लाभ उठाता है।

बोंटा के कार्यालय ने कहा कि यह एक प्रसिद्ध हमला था जिससे व्यवसायों को सावधान रहना चाहिए। हमलावरों ने अक्टूबर 2017 में बड़े पैमाने पर डेटा उल्लंघन सहित चुराए गए उपयोगकर्ता खाता क्रेडेंशियल का उपयोग किया, जिसने MyHeritage को प्रभावित किया, जो 23andMe के पूर्व भागीदारों में से एक था। उस उल्लंघन के बाद, 23andMe ने सामान्य प्रोटोकॉल नहीं अपनाए जैसे कि ग्राहकों को उनके पासवर्ड रीसेट करने या मल्टीफैक्टर प्रमाणीकरण का उपयोग करने के लिए कहना।

23andMe ने टिप्पणी के लिए ईमेल किए गए अनुरोध का तुरंत जवाब नहीं दिया।

अभियोजकों ने शिकायत में कहा, “23andMe के सुरक्षा उपाय इतने ढीले थे कि धमकी देने वाला अभिनेता 23andMe के सिस्टम के भीतर पांच महीने से अधिक समय तक बिना पहचाने काम करने में सक्षम था, और उल्लेखनीय रूप से, 23andMe ने केवल तभी जांच शुरू की जब धमकी देने वाले ने चुराए गए उपयोगकर्ता डेटा को डार्क वेब पर बिक्री के लिए पेश किया और फिरौती मांगने के लिए 23andMe तक पहुंच गया।”

अक्टूबर 2023 में, चुराया गया डेटा डार्क वेब पर बिक्री के लिए दिखाई दिया, पोस्टर में विशेष रूप से बताया गया कि लगभग 1.1 मिलियन उपभोक्ताओं का डेटा एशियाई-प्रशांत द्वीपवासी और एशकेनाज़ी यहूदी उपयोगकर्ताओं का था।

बोंटा ने एक प्रेस विज्ञप्ति में कहा, “डार्क वेब पर इस डेटा की बिक्री बढ़ते एशियाई अमेरिकी और प्रशांत द्वीपसमूह विरोधी और यहूदी विरोधी नफरत और हिंसा के दौर के बीच हुई।” “यह परेशान करने वाला और अविश्वसनीय रूप से खतरनाक है।”

चुराए गए कुछ डेटा में कच्चा आनुवंशिक डेटा, स्वास्थ्य रिपोर्ट, अन्य रिश्तेदारों के साथ साझा किया गया डीएनए और रिश्तेदारों के स्थान और जन्म वर्ष शामिल थे।

मुकदमे में कहा गया है कि उल्लंघन के बारे में जनता को सूचित करने के बाद, 23andMe ने उल्लंघन की गंभीरता और इसमें कंपनी की भूमिका के बारे में उपभोक्ताओं को गुमराह करना जारी रखा।

कंपनी ने कहा है कि उसे उल्लंघन के बारे में अक्टूबर 2023 में पता चला जब चुराए गए डेटा को डार्क वेब पर बिक्री के लिए पोस्ट किया गया था। हालाँकि, मुकदमे में कहा गया है कि कंपनी महीनों पहले सामने आए लाल झंडों की ठीक से जांच करने में विफल रही, जैसे कि जुलाई में “उपयोगकर्ता लॉगिन प्रयासों में संदिग्ध स्पाइक” और अगस्त में उपयोगकर्ता डेटा के संभावित उल्लंघन और बिक्री पर चर्चा करने वाला एक Reddit पोस्ट।

मुकदमे में कहा गया है कि आनुवंशिक डेटा को “उच्चतम स्तर की सुरक्षा में से एक” की आवश्यकता होती है और कैलिफ़ोर्निया कानून इसकी सुरक्षा के लिए “एक ऊंचे कानूनी दायित्व को अनिवार्य करता है”।

बोंटा ने यह सुनिश्चित करने के लिए भी हस्तक्षेप किया कि 23andMe के अध्याय 11 दिवालियापन और संपत्ति की बिक्री के दौरान ग्राहकों के आनुवंशिक डेटा का दुरुपयोग नहीं किया जाएगा, यह तर्क देते हुए कि कैलिफ़ोर्निया के आनुवंशिक सूचना गोपनीयता अधिनियम के लिए कंपनियों को अपनी आनुवंशिक जानकारी तीसरे पक्ष को बेचने से पहले ग्राहकों से ऑप्ट-इन सहमति प्राप्त करने की आवश्यकता होती है। हालाँकि, बिक्री को आगे बढ़ने की अनुमति दी गई थी।

2024 में, 23andMe ने कंपनी पर उन ग्राहकों की सुरक्षा करने में विफल रहने का आरोप लगाते हुए एक क्लास-एक्शन मुकदमे में $30 मिलियन का भुगतान करने पर सहमति व्यक्त की, जिनकी व्यक्तिगत जानकारी उल्लंघन में उजागर हुई थी। अधिकांश अमेरिकी ग्राहकों के दावों को हल करने के लिए राशि को बढ़ाकर $50 मिलियन कर दिया गया और जनवरी में 23andMe के दिवालियापन की निगरानी करने वाले एक संघीय न्यायाधीश द्वारा अंतिम मंजूरी प्राप्त हुई।