23andMe Hacklendi ve Başta 1 Milyon Yahudi Olmak Üzere Milyonlarca Kişinin Genetik Verileri Sızdırıldı!

Bugüne kadar 15 milyon civarında insan, kökenlerini keşfedebilmek ümidiyle salyalarını 23andMe firmasıyla paylaştı. Şimdi, başta 1 milyon civarında Yahudi müşteri olmak üzere, birçoğunun genetik verileri "dark web" üzerinden erişilebilen bir CSV dosyası olarak, "Ünlülerin Ashkenazi DNA Verisi" adıyla yayınlandı. Bu Yahudi müşteriler, Amerika Birleşik Devletleri'ne bağlı 23andMe firmasını toplu olarak dava etmeye hazırlanıyorlar.

Hacker, geçtiğimiz ay çevrimiçi bir forumda milyonlarca 23andMe kullanıcısının isimlerini, konumlarını ve etnik kökenlerini satmayı teklif etti. İnşa ettiği listede özellikle de Yahudilere ait genetik veriler vardı. 23andMe, Washington Post'a sızıntının gerçek veriler içerdiğini doğruladı. Firma, saldırganın 23andMe hesaplarına girmek için diğer sitelerden sızdırılmış kullanıcı adı-şifre kombinasyonlarını kullandığını düşündüğünü söyledi. Yani 10 farklı web sitesi için aynı şifreyi kullanıyorsanız ve bu sitelerden biri hacklenirse, aynı kullanıcı bilgilerinizle 23andMe verilerinize erişmek de mümkün olabiliyor.

23andMe, veri gizliliği ve güvenlik endişeleri nedeniyle ilk kez ateş altında kalmıyor. Yerel polisin 2018 yılında seri katil olduğuna inanılan bir adamı tutuklamak için DNA veri tabanını kullanmasının ardından, Ancestry ve 23andMe gibi genetik test şirketleri, müşterilerinin genleriyle ilgili bilgileri sigorta acenteleri de dahil olmak üzere dış şirketlere vermeden önce kolluk kuvvetlerinin taleplerini ilan etmeye ve müşterilerin "ayrı açık rızasını" almaya başlayacaklarına söz vermişti.

Genetik test şirketlerinin topladığı bu tür bilgiler şu anda ABD'nin sağlık gizliliği yasası olan Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası (HIPAA) tarafından korunmuyor. 23andMe, gizlilik politikasında üçüncü taraf veri paylaşımına hala izin veriyor.

İşte şimdi, İsrail ile Filistin arasındaki savaş tüm dünyanın gündemindeyken, başta Yahudi müşteriler olmak üzere 1 milyona yakın genetik verinin bir hacker tarafından derlendiği tespit edildi. CSV dosyasındaki veriler, 23andMe kullanıcılarının hesap kimlikleri, tam adları, cinsiyetleri, doğum tarihleri, DNA profilleri, konumları ve bölge ayrıntılarına ilişkin bilgiler içeriyordu. Hackerın neden özellikle Yahudileri hedef aldığını bilmek zor; ancak bu, son dönemde yeniden yükselişe geçen antisemitizmin bir uzantısı olabilir: Anti-Defamation League'in iddiasına göre, geçtiğimiz on yıl içinde ABD'deki antisemitik olayların sayısı neredeyse %500 arttı - ki bu olaylara taciz, saldırı ve vandalizm de dahil. ADL raporu, 2022 yılında üniversite kampüslerindeki antisemitik faaliyetlerde %41'lik bir artış olduğunu ve ilk ve ortaöğretimde de %49'luk bir artış olduğunu ortaya koydu.

Geçtiğimiz hafta, orijinal bilgisayar korsanı gönderiyi geri çekmeye karar verdi ve bunun yerine çalınan 23andMe verilerinin veri profillerini satmaya başladı. Ancak diğer hackerlar, 23andMe'nin orijinal sızıntısını siber suç toplulukları ve forumlarında paylaşmaya devam ettiler.

Dava Yağmuru!

Platform üyeleri, veri hırsızlığını mümkün kılan veri paylaşımı ayarını gönüllü olarak etkinleştirmiş olsalar da, herkes, dahili veri paylaşımı riskinin firmayı koruma katmanları yerleştirme sorumluluğundan muaf tutması gerektiğini kabul etmemektedir.

Bu durumda, hesaplarında 2FA'yı etkinleştirerek ve güçlü ve benzersiz bir şifre kullanarak uygun güvenlik uygulamalarını takip eden birçok kişinin verileri yine de siber suç forumlarına sızdı.

Kaliforniya'da 23andMe'nin verilerini koruyamaması nedeniyle oluşan zararın giderilmesini talep eden en az dört toplu dava başvurusu (Santana, Eden, Andrizzi, Lamons) yapılmıştır.

Davalar, şirketin güvenlik olayı, müşteri veri güvenliğinin mevcut durumu, ağ ihlalinin süresi ve siber saldırının tam mekanizması ile ilgili resmi duyurusunda bilgi eksikliğini vurgulamaktadır.

Ayrıca 23andMe, ağını anormal faaliyetlere karşı izlemeye yardımcı olacak ve potansiyel olarak izinsiz girişi çok daha erken durdurmak için harekete geçecek yeterli güvenlik önlemlerini uygulamadığı için eleştirilmektedir.

Yasal işlemler, hassas tıbbi verileri yöneten bir şirket olan 23andMe'nin, sektördeki çok sayıda yüksek profilli ihlal göz önüne alındığında, bu tür verilerin yüksek değerinin altını çizen yüksek siber güvenlik tehditlerinin farkında olması gerektiğini vurgulamaktadır.

Davacılar, 23andMe'den iade; ömür boyu kredi izleme; fiili, telafi edici ve yasal zararlar ve cezalar; cezai tazminatlar ve avukatlık ücretlerinin karşılanması dahil olmak üzere çok çeşitli mali ödemeler talep etmektedir.

Şikayetlerden biri, diğer çeşitli yardım taleplerine ek olarak, nominal tazminatları 1.000$ ve cezai tazminatları toplu dava üyesi başına 3.000$ olarak tanımlamaktadır.

Şimdi Ne Olacak?

23andMe, müşterilerine gönderdiği bir e-postada, gizli bilgilerinin hackerlara kaptırılmasıyla başa çıkmak için şifreleri değiştirmek ve iki faktörlü kimlik doğrulama kullanmak gibi ipuçları sundu. Ama bu yeterli mi? Diğer uzmanlar, temel bilgilerin ötesinde, araştırmalar için DNA'nızın kullanılmasına izin vermemenizi ve hatta gen dizileme şirketlerinden tamamen vazgeçmenizi tavsiye ediyor.

Elbette, eğer insanlar genlerini diziletmeyi bırakırsa, o zaman DNA şirketleri de epey zora girer; çünkü genlerini diziletmeyi seçenlerin uzun zamandır kayıp olan kuzenlerini bulmaları giderek zorlaşır. Günümüzde aile geçmişleriyle ilgilenen kişiler, 23andMe kadar eğlenceli olmasa da aynı özelliklerin çoğunu sunan Ancestry.com üzerinde aile ağaçlarını doldurmak için mezarlıklarda dolaşıyor ve ölüm belgelerini inceliyorlar.

23andMe soygunu, bize dijital çağda mahremiyetimizin ne kadar kırılgan olduğunu hatırlatıyor - tabii herhangi bir mahremiyetimizin var olduğunu varsayarsak... Bazı uzmanlar DNA şirketlerinin, bireylerin sağlık bilgilerini yetkisiz kullanım, erişim ve ifşadan koruyan Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası'ndaki kural ve düzenlemelere tabi olması gerektiğini öne sürüyor. Ancak hiçbir yasa, belki de hiçbir zaman yakalanamayacak olan bilgisayar korsanlarının önünde bir engel değil. Gelecekte hackerlar, insan bile olmayacak.

2016'daki bir hacker kongresinde, bilgisayarların yapay zeka tarafından savunulan programları hacklemek için birbirleriyle yarıştığı Cyber Grand Challenge adlı bir oyun oynandı. Bu yılın başlarında Harvard Magazine'de yer alan bir haberde şöyle anlatılıyor:

O gün yaşananlar, yapay zekaların insanüstü bir hız, kapsam, ölçek ve karmaşıklıkla güvenlik açıklarını bulup istismar edebilecekleri çok da uzak olmayan bir geleceğe dair sarsıcı bir bakıştı. Geleceğin bu yapay zeka korsanları bilgisayarlarla sınırlı kalmayacak. Finansal, siyasi ve sosyal sistemleri akıl almaz şekillerde hackleyecekler ve insanlar çok geç olana kadar bunun farkına bile varmayabilecekler.

Bu açıdan düşününce, sivrisinek ısırıkları nedeniyle kaşınma ihtimalinizin diğer insanlardan daha yüksek olup olmadığını bilmenin birdenbire önemsizleştiğini görebilirsiniz.