美国知名基因检测巨头 23andMe 因在 2023 年的数据泄露事件中未能妥善保护客户隐私日前已与全美 43 个州的总检察长达成了价值1800 万美元的和解协议。这项由跨党派联合调查推动的和解不仅要求 23andMe 支付巨额罚金还对目前负责管理数千万用户基因信息的继任机构提出了极为严苛的网络安全与公司治理新规。纽约州总检察长 Letitia James 正式宣布了这一和解协议标志着这场波及全球的基因数据安全风暴迈向了司法问责的新阶段。一、 事件回溯波及近 700 万用户的“基因泄露危机”这场漫长的法律纠纷源于 2023 年 10 月。当时23andMe 证实其系统遭遇黑客入侵导致约 690 万用户的敏感个人信息遭到非法访问。在这起事件中仅纽约州就有 305,245 名居民受到直接波及。泄露的数据不仅包括姓名、出生日期、地理位置等常规个人身份信息PII更致命的是还包含了极具隐私性的基因血统信息Genetic Ancestry Information。部分被盗取的敏感记录甚至随后被黑客公然挂在暗网论坛上进行售卖引发了公众对于基因隐私可能被恶意滥用的巨大恐慌。二、 官方调查起底多项基本安全防护“交白卷”各州总检察长联合展开的深入调查表明23andMe 在安全防范上存在极其严重的疏忽。调查报告尖锐地指出该公司未能实施多项本应轻松阻止或及时发现此类攻击的基本安全控制措施疏于密码审计未能对照已知已泄露凭证的数据库对用户密码进行筛选致使大量弱密码和复用密码长期暴露在风险中。缺少双重验证在最核心的身份验证环节23andMe 未强制要求用户启用多因素身份验证MFA。监控机制形同虚设缺乏对异常登录活动和非常规身份验证模式的有效监测。漏洞修复严重滞后在已知系统存在漏洞的情况下未能及时进行修复与加固。攻击者是如何得手的黑客首先采用了“凭证填充”Credential Stuffing攻击手段——利用在其他无关网站泄露的用户名和密码尝试登录未开启 MFA 的 23andMe 用户账户。随后黑客恶意滥用了 23andMe 的特色社交功能“DNA 亲属”DNA Relatives。通过这个允许用户寻找潜在亲属的公开功能黑客顺藤摸瓜通过已攻破的少数账户打包抓取了与之关联的大量其他用户的个人档案信息导致受害者人数呈指数级放大。此外调查人员还对 23andMe 的应急响应速度提出了严厉批评。在被盗数据已经在网上公开流传数月后该公司才迟迟确认泄露事件期间甚至一度否认遭到入侵。三、 破产风波背后的“基因数据库”去向作为创立于 2006 年、全球规模最大的消费级 DNA 检测公司之一23andMe 存储着极其庞大且敏感的人类基因图谱。然而数据泄露事件对其品牌和经营造成了毁灭性打击。23andMe 于2025 年 3 月正式申请破产保护。由于破产涉及数千万用户敏感基因数据的处置问题美国多个州政府立即采取了法律行动以确保这些高度敏感的数据库不会被任意变卖或滥用。最终这些宝贵的客户数据被安全转移到了由 23andMe 前首席执行官安妮·沃西基Anne Wojcicki创立的非营利机构 TTAM Research现已更名为23andMe 研究院 / 23andMe Research Institute。根据和解协议这家新成立的非营利研究院也将无条件接受和解协议中所有的网络安全监管约束。四、 和解协议的核心约束与安全整改根据最新达成的和解协议23andMe 及其数据承接方需履行以下义务1. 经济赔偿向参与起诉的 43 个州支付 1800 万美元的罚金其中超过 70.5 万美元拨归纽约州。2. 强化风险评估定期开展全面的网络安全风险与合规性评估。3. 成立专属安全委员会设立专门的数据安全咨询委员会Data Security Advisory Board实施更高级别的安全治理。4. 支持用户“被遗忘权”为那些希望彻底删除个人及基因信息的客户提供持续的技术和流程支持。五、 网络安全专家的防御避险建议虽然监管机构已经通过法律手段对企业进行了惩戒但对于广大用户而言保障个人数字资产安全依旧需要主动作为。安全专家建议所有消费级基因检测服务的用户采取以下防范措施立刻开启多因素身份验证MFA为所有敏感账户特别是涉及医疗、基因和财务的账户增加一层动态验证屏障。拒绝密码复用为每个平台使用独一无二的强密码并建议借助专业密码管理器进行统一管理。警惕异常活动密切关注账户登录日志一旦发现异常立即更改密码。行使数据删除权如果您不再活跃使用该服务建议主动向平台申请销户并彻底删除您的基因和个人敏感数据从源头上斩断泄露隐患。
)
