- 23andMe concorda em pagar 30 milhões de dólares para encerrar ação coletiva por violação de dados ocorrida em 2023, que afetou mais de 6,9 milhões de clientes.
- Como parte do acordo, a empresa fornecerá compensação aos clientes afetados e acesso a um programa de monitoramento de segurança por três anos.
- A violação expôs informações de usuários da função “DNA Relatives”, incluindo nomes, anos de nascimento e ascendência; os hackers teriam direcionado perfis de herança chinesa ou judaica asquenazi.
- A empresa atribuiu o ataque a técnicas de credential stuffing, que usam logins reaproveitados de violações anteriores.
- O acordo ainda precisa ser aprovado pelo juiz; a seguradora de cybersegurança deve cobrir cerca de 25 milhões de dólares, com o restante vindo de outras fontes.
A 23andMe concordou em pagar 30 milhões de dólares para encerrar uma ação coletiva relacionada a uma violação de dados ocorrida em 2023. Mais de 6,9 milhões de clientes foram expostos a atacantes que pareciam direcionar usuários com herança chinesa ou judaica Ashkenazi. O acordo prevê compensação aos afetados e acesso a um programa de monitoramento de segurança por três anos.
A violação foi revelada pela empresa em outubro e teve seu alcance total confirmado apenas em dezembro. Usuários que usaram o recurso DNA Relatives podem ter tido informações como nomes, anos de nascimento e dados de ascendência expostas. Na época, a 23andMe atribuiu o ataque a uma tática de credential stuffing.
Em janeiro de 2024, clientes ingressaram com ação coletiva em um tribunal de San Francisco, acusando a empresa de falhas na proteção da privacidade. Também contestaram a falta de notificação adequada sobre o fato aos usuários com herança chinesa ou Ashkenazi Jewish que viram dados colocados à venda na dark web.
O impacto financeiro atingiu a empresa, que já enfrentava dificuldades. A ação de investidores também acompanhou o desempenho das ações da 23andMe. Em 2024, a gestão avaliou opções para reorganizar a empresa, incluindo uma possível privatização, mas a proposta foi rejeitada pelo comitê especial do conselho.
Segundo a executiva de 23andMe, Katie Watson, a maior parte do valor do acordo deve ser coberta por apólices de cyber insurance. Ela afirmou que o acordo envolve um pagamento em dinheiro de 30 milhões de dólares, com aproximadamente 25 milhões cobertos pelo seguro cibernético. O comunicado ressalta que o acordo é considerado do interesse dos clientes.
O entendimento ainda depende da aprovação de um juiz nos Estados Unidos. Caso autorizado, o programa de monitoramento de segurança e as medidas de compensação atenderiam aos termos acordados entre as partes. A defesa sustenta que a solução é apropriada para encerrar o litígio e evitar maiores custos judiciais.
Entre na conversa da comunidade