تم اتهام شركة الاختبارات الجينية 23andMe في دعوى قضائية جماعية بالفشل في حماية خصوصية العملاء الذين تم الكشف عن معلوماتهم الشخصية في العام الماضي في خرق للبيانات أثر على ما يقرب من سبعة ملايين ملف شخصي.
كما اتهمت الدعوى، التي تم رفعها يوم الجمعة أمام محكمة اتحادية في سان فرانسيسكو، الشركة بالفشل في إخطار العملاء من ذوي الأصول اليهودية الصينية والأشكنازية بأنهم مستهدفون على ما يبدو على وجه التحديد، أو أنه تم تجميع معلوماتهم الجينية الشخصية في ” “قوائم منسقة خصيصًا” تمت مشاركتها وبيعها على الويب المظلم.
تم رفع الدعوى بعد أن قدمت 23andMe إخطارًا إلى مكتب المدعي العام في كاليفورنيا أظهر أن الشركة تعرضت للاختراق على مدار خمسة أشهر، من أواخر أبريل 2023 حتى سبتمبر 2023، قبل أن تصبح على علم بالانتهاك. وفقًا للملف، الذي أوردته TechCrunch، علمت الشركة بالاختراق في الأول من أكتوبر، عندما نشر أحد المتسللين على موقع subreddit غير رسمي لـ 23andMe مدعيًا أن لديه بيانات العملاء ويشارك عينة كدليل.
كشفت الشركة لأول مرة عن الاختراق في منشور على مدونة يوم 6 أكتوبر، قالت فيه إن “ممثل التهديد” تمكن من الوصول إلى “حسابات معينة” باستخدام “بيانات اعتماد تسجيل الدخول المعاد تدويرها” – كلمات المرور القديمة التي استخدمها عملاء 23andMe على مواقع أخرى. التي تم اختراقها.
وكشفت الشركة عن النطاق الكامل للانتهاك في منشور مدونة محدث يوم 5 ديسمبر، بعد الانتهاء من المراجعة الداخلية بمساعدة “خبراء الطب الشرعي من طرف ثالث”. بحلول ذلك الوقت، وفقًا لإيلي ويد سكوت، محامي المدعين، تم توفير المعلومات الجينية الشخصية للمستخدمين وغيرها من المواد الحساسة وعرضها للبيع على شبكة الإنترنت المظلمة لمدة شهرين.
ولم تستجب شركة 23andMe على الفور لطلبات التعليق على الدعوى القضائية.
وقال جاي إديلسون، وهو محام آخر يمثل المدعين، إن نهج 23andMe تجاه الخصوصية والدعوى القضائية الناتجة تشير إلى “تحول نموذجي في قانون خصوصية المستهلك” مع زيادة حساسية البيانات المخترقة.
قال السيد إديلسون في رسالة بالبريد الإلكتروني يوم الجمعة: “الآن عندما ننظر إلى خروقات البيانات، سيكون شاغلنا الأول هو ما إذا كانت المعلومات سيتم استخدامها لمضايقة الأشخاص جسديًا أو إيذائهم على نطاق منهجي وجماعي”. “إن المعيار الذي تحدد متى تتصرف الشركة بشكل معقول لحماية البيانات أصبح الآن معيارًا أعلى، على الأقل بالنسبة لنوع البيانات التي يمكن استخدامها بهذه الطريقة.”
قال أب لطفلين في فلوريدا، وهو أحد المدعين المذكورين في الدعوى، في مقابلة إن مجموعة 23andMe التي اشتراها لنفسه كهدية عيد ميلاد العام الماضي كشفت أنه كان لديه تراث يهودي أشكنازي. وتحدث الرجل، الذي تم تحديده في الشكوى بالأحرف الأولى من اسمه، JL، بشرط عدم الكشف عن هويته لأنه قال إنه يخشى على سلامته.
وقال إنه كان يتطلع إلى التواصل مع أقاربه، لذلك اختار ميزة تسمى DNA Relatives، حيث تتم مشاركة معلومات محددة مع عملاء 23andMe الآخرين الذين قد يكونون متطابقين جينيًا.
وقالت شركة 23andMe في ديسمبر/كانون الأول الماضي إن المتسلل تمكن من الوصول إلى هذه الميزة والمعلومات من 5.5 مليون ملف شخصي لأقارب الحمض النووي. قد تتضمن الملفات الشخصية الموقع الجغرافي للعميل وسنة الميلاد وشجرة العائلة والصور التي تم تحميلها.
وتمكن المتسلل أيضًا من الوصول إلى معلومات الملف الشخصي لـ 1.4 مليون عميل إضافي من خلال الوصول إلى ميزة تسمى Family Tree.
بعد أن أبلغت شركة 23andMe JL وملايين المستخدمين الآخرين بأن بياناتهم قد تم اختراقها، قال JL إنه يخشى أن يصبح هدفًا مع تصاعد خطاب الكراهية المعادي للسامية والعنف، الذي يغذيه الصراع بين إسرائيل وغزة.
وقال: “الآن بعد أن أصبحت المعلومات متاحة، يمكن أن يأتي شخص ما ويقرر أنه سيتخلص من إحباطاته”.
في الأول من أكتوبر، وفقًا للدعوى القضائية، قام أحد المتسللين الذي أطلق على نفسه اسم “Golem” واستخدم صورة Gollum من أفلام “Lord of the Rings” كصورة رمزية، بتسريب البيانات الشخصية لأكثر من مليون مستخدم لشركة 23andMe مع اليهود. النسب على BreachForums، وهو منتدى عبر الإنترنت يستخدمه مجرمو الإنترنت. وتضمنت البيانات الأسماء الكاملة للمستخدمين وعناوين منازلهم وتواريخ ميلادهم.
وفي وقت لاحق، ردًا على طلب في المنتدى للوصول إلى “الحسابات الصينية” من شخص يستخدم الاسم المستعار “ووهان”، رد جوليم برابط لمعلومات الملف الشخصي لـ 100 ألف عميل صيني، وفقًا للدعوى القضائية. وتقول الدعوى القضائية إن جوليم قال إن لديه إجمالي 350 ألف سجل للملفات الشخصية للعملاء الصينيين وعرض الإفراج عن البقية منهم إذا كان هناك اهتمام.
وفي 17 أكتوبر/تشرين الأول، عاد جوليم إلى المنتدى ليقول إن لديه بيانات حول “العائلات الثرية التي تخدم الصهيونية” والتي كان يعرضها للبيع في أعقاب الانفجار المميت الذي وقع في المستشفى الأهلي العربي في مدينة غزة، حسبما جاء في الدعوى. وتبادل المسؤولون الإسرائيليون والمسلحون الفلسطينيون الاتهامات بالمسؤولية عن الانفجار، لكن وكالات الاستخبارات الإسرائيلية والأمريكية تؤكد أن سببه هو فشل إطلاق صاروخ فلسطيني.
ويسعى المدعون إلى إجراء محاكمة أمام هيئة محلفين والحصول على تعويضات غير محددة وعقابية وأضرار أخرى.
وقالت الدعوى القضائية إن “المناخ الجيوسياسي والاجتماعي الحالي يزيد من المخاطر” على المستخدمين الذين تم الكشف عن بياناتهم. ودعا النائب جوش جوتهايمر، الديمقراطي عن ولاية نيوجيرسي، إلى إجراء مكتب التحقيقات الفيدرالي تحقيقًا في الاختراق في وقت سابق من هذا الشهر، مشيرًا إلى التركيز على اليهود الأشكناز.
وكتب السيد جوتهايمر في رسالة إلى كريستوفر راي، مدير مكتب التحقيقات الفيدرالي: “إن البيانات المسربة يمكن أن تمكن حماس ومؤيديها ومختلف الجماعات المتطرفة الدولية من استهداف السكان اليهود الأمريكيين وعائلاتهم”.
وقال راميش سرينيفاسان، الأستاذ في قسم دراسات المعلومات بجامعة كاليفورنيا في لوس أنجلوس، إنه لا مفر من استمرار هذا النوع من الانتهاكات.
وقال إن السؤال هو ما إذا كانت الشركات ستتعامل مع هذه المشكلات من خلال اتخاذ احتياطات جادة – مثل تشديد الأمن أو الحد من الاحتفاظ بالبيانات، على سبيل المثال – أو ما إذا كانت ستطبق ببساطة ضمادة من خلال الوعد بأداء أفضل في المرة القادمة.
وقال: “نحن نحدق في الهاوية عندما يتعلق الأمر بتحويل حياتنا إلى بيانات”.
