El fiscal general de California, Rob Bonta, presentó una demanda contra 23andMe, ahora conocida como Chrome Holding Co., por no proteger adecuadamente la información genética y personal de sus clientes. La demanda señala que las deficiencias de seguridad permitieron una filtración masiva en 2023 que expuso los datos de casi 7 millones de personas, de los cuales 855,541 eran californianos.
El incidente se hizo público en octubre de 2023, cuando actores maliciosos ofrecieron vender un gran número de registros robados y publicaron muestras para demostrar su autenticidad. 23andMe confirmó que los datos eran genuinos y atribuyó el ataque a un relleno de credenciales dirigido a cuentas con contraseñas débiles.
Posteriormente, se descubrió que los atacantes accedieron primero a cuentas que usaban la función 'DNA Relatives' y luego a un conjunto mayor de cuentas que no la usaban. En total, la filtración expuso datos genéticos, predisposiciones de salud, ascendencia e información sobre parientes biológicos y coincidencias de ADN. Para finales de 2023, la empresa enfrentaba múltiples demandas; en 2024, las autoridades de protección de datos impusieron multas multimillonarias, lo que llevó a la empresa a declararse en bancarrota.
La demanda presentada por el fiscal general Bonta alega que 23andMe no implementó salvaguardas razonables contra ataques de relleno de credenciales, perdió múltiples oportunidades de detectar la intrusión y no corrigió un error de codificación en DNA Relatives que facilitó la filtración. Además, se critica a la empresa por declaraciones públicas engañosas: antes del incidente afirmaba que su seguridad cumplía altos estándares, y después intentó minimizar la gravedad, sugiriendo que los datos expuestos eran mayoritariamente públicos y culpando a los clientes por reutilizar contraseñas.
Según el fiscal general, estas acciones violaron varias leyes estatales, como la Ley de Privacidad de Información Genética de California, la Ley de Seguridad de Datos Razonable de California, la Ley de Privacidad del Consumidor de California (CCPA), la Ley de Publicidad Engañosa y la Ley de Competencia Desleal. La demanda solicita una orden judicial para prevenir futuras infracciones y la imposición de multas de entre $1,000 y $7,500 por cada violación.
El anuncio del fiscal general aclara que el litigio por bancarrota relacionado con la propuesta de venta de datos genéticos y materiales biológicos de los californianos es un proceso separado.
