Usuarios “negligentes” son responsables de la vulneración de 6,9 ​​millones de registros

A pesar de una avalancha de demandas, 23andMe niega responsabilidad por los registros genéticos de millones de usuarios que se filtraron el otoño pasado.

En una carta enviada a un grupo de usuarios Cuando los abogados de la empresa de biotecnología demandaron a la empresa, obtenida por TechCrunch, argumentaron que los usuarios eran responsables de los datos que pudieron haber sido expuestos.

como era revelado el mes pasadoLos piratas informáticos no han penetrado los sistemas internos de la empresa. En lugar de ello, utilizaron el relleno de credenciales para obtener acceso a unas 14.000 cuentas y luego accedieron a datos de casi siete millones más utilizando la función opcional para compartir Familiares de ADN del sitio.

El argumento plantea una pregunta importante para los tribunales y la industria de la ciberseguridad en su conjunto: ¿Qué parte de responsabilidad recae en el usuario versus el proveedor de servicios cuando las credenciales están obstruidas?

«Todo el mundo debería saber que no se debe utilizar una identificación insalubre», dijo Steve Moore, vicepresidente y estratega jefe de seguridad de Exabeam. «Pero al mismo tiempo, la organización que proporciona el servicio debería tener formas de limitar el riesgo de hacerlo».

El fundamento de 23andMe

El grupo de usuarios que demanda a 23andMe argumenta que la empresa violó la Ley de Derechos de Privacidad de California (CPRA), la Ley de Confidencialidad de la Información Médica de California (CMIA), la Ley de Privacidad de la Información Genética de Illinois (GIPA) y una serie de otras violaciones cometidas en el derecho consuetudinario.

Sobre el primer punto, los abogados de la empresa dijeron: «Los usuarios reciclaron negligentemente sus contraseñas y no las actualizaron» después de incidentes anteriores relacionados con sus inicios de sesión «no relacionados con 23andMe». Por lo tanto, el incidente no fue el resultado de la supuesta falta de 23andMe de tomar las medidas de seguridad apropiadas según la CPRA». Una lógica similar se aplica a GIPA, aunque agregaron que «23andMe no cree que la ley de Illinois se aplique aquí».

23andMe no necesariamente le ha hecho justicia todas sus promesas de alta seguridad. Sin embargo, las funciones de seguridad de la cuenta estaban disponibles para los clientes que podrían haber evitado el relleno de credenciales, incluida la verificación en dos pasos con una aplicación de autenticación. Y en armonía con la empresa. descubrimiento inicial y anuncio públicoImplementó una serie de medidas de seguridad estándar, incluida la notificación a las autoridades policiales, la finalización de todas las sesiones de usuarios activos y la exigencia de que todos los usuarios restablecieran sus contraseñas.

«Lo que es igualmente importante, la información a la que se haya accedido no puede utilizarse para causar daño», escribieron los abogados. «La información del perfil a la que se pudo haber accedido está relacionada con la característica de parentesco de ADN que un cliente crea y desea compartir con otros usuarios en la plataforma de 23andMe», y «la información que el actor no autorizado pudo haber obtenido sobre los demandantes no podría usarse para causar daño financiero (sin proporcionar el número de seguro social, número de licencia de conducir o información financiera o de pago)».

El Tipo de datos robados La CMIA tampoco será considerada, dice la carta, porque «no constituía ‘información médica’, aunque era identificable individualmente».

¿Quién es responsable si se pierden los datos de acceso?

Las cuentas 23andMe no son exclusivamente inseguras. «Cualquier organización que tenga un portal de clientes tiene este problema, lo quiera admitir o no, pero no siempre en esta medida», dice Moore.

Esto crea un problema más amplio y profundo. El usuario podrá ser considerado responsable de cualquier contraseña reutilizada, pero con el conocimiento de que así es endémica de internet¿Parte de la responsabilidad de proteger las cuentas recae entonces en el proveedor de servicios?

“Creo que la responsabilidad es compartida. Y esa no es una respuesta divertida”, admite Moore.

Por un lado, los usuarios tienen una Lista completa de mejores prácticas Puede estar seguro de que una apropiación de cuenta no será imposible, pero al menos será muy difícil.

Al mismo tiempo, afirma Moore, las empresas deben utilizar su propio poder para proteger a sus clientes con las numerosas herramientas a su disposición. Además de ofrecer (o exigir) autenticación multifactor, los sitios web pueden imponer umbrales de contraseña estrictos y alertar a los usuarios cuando los inicios de sesión se producen desde ubicaciones inusuales o con una frecuencia inusual. “Entonces, desde una perspectiva legal: ¿qué dicen sus términos de servicio y políticas de uso aceptable? Si un usuario acepta un acuerdo, ¿cómo se pone de acuerdo sobre su higiene?», se pregunta.

“Creo que debería haber una política de derechos del cliente al respecto que diga que al administrar datos personales confidenciales, los portales de clientes deben proporcionar una manera de verificar las credenciales seguras, una manera de verificar las infracciones conocidas y una manera de protegerlas con autenticación adaptativa. o autenticación multifactor que no utiliza medios falibles como SMS. Entonces podemos decir: este es el requisito mínimo”, afirma.