23andMe 就基因数据泄露事件达成 1800 万美元和解

基因检测公司 23andMe（现为 Chrome Holding Co.）已同意支付 1800 万美元，以解决来自 43 位总检察长联盟的索赔，该联盟指控其未能保护客户的基因数据。
23andMe 于 2023 年 10 月披露了一起大规模数据泄露事件，此前其系统在五个月内（从 2023 年 4 月到 2023 年 9 月）一直未察觉凭证填充攻击。
在该事件中，威胁行为者窃取了 690 万名客户的数据，包括其基因血统信息。部分数据随后在暗网上被挂售，攻击者泄露了数百万份基因档案作为数据真实性的证明。
纽约总检察长 Letitia James 周二表示，事件披露后启动的多州调查发现，该公司缺乏针对基于凭证的网络攻击的基本防护措施，例如密码黑名单或双因素认证，以及充分的速率限制、入侵防御和入侵检测监控。
调查人员还发现，23andMe 未能处理异常登录活动并修复已知漏洞。据 James 总检察长称，该公司最初否认发生了泄露，随后将事件归咎于客户的账户和密码使用习惯。
该和解协议为 TTAM 确立了新的安全要求，包括设立数据安全顾问委员会、风险分析协议，以及持续赋予客户删除其数据的权利。
"公司有责任保护客户的个人信息免受黑客攻击，但 23andMe 以其薄弱的安防措施将数百万客户置于风险之中，"James 指出。
"纽约人信任 23andMe，将敏感且私密的基因数据托付给它，结果却发现这些数据被盗并在互联网的阴暗角落被挂售。通过我们联盟的行动，23andMe 将为其违法行为付出代价，并将制定严格规则以保护其客户。"
集体诉讼、罚款与和解
2023 年的数据泄露还引发了多起集体诉讼，促使 23andMe 于 2023 年 11 月修改其使用条款以增加诉讼难度，当时声称这些修改仅旨在简化仲裁程序。
2024 年 9 月，这家总部位于加州的基因检测提供商还同意支付 3000 万美元，以和解一项关于 2023 年数据泄露的拟议集体诉讼。
23andMe 于 2025 年 3 月申请第 11 章破产保护，并宣布在经历数年财务困境后计划出售其资产，这促使 James 及其联盟提出了相关索赔。
2025 年 6 月，James 与其他 27 位总检察长提起诉讼，以在破产程序中保护客户的基因数据。同月，英国信息专员办公室（ICO）因"严重的安全失职"导致 2023 年"极具破坏性的"数据泄露，对 23andMe 处以 231 万英镑（约 312 万美元）罚款。
四个月后，即 2025 年 7 月，非营利组织 TTAM Research Institute（现重新注册为 23andMe Research Institute，由 23andMe 联合创始人 Anne Wojcicki 领导）在同意支付 3.05 亿美元收购其全部资产后，完成了对这家 DNA 检测巨头的收购。