A empresa de testes genéticos 23andMe chegou a acordo com uma coligação de 43 procuradores-gerais dos EUA para encerrar um processo relacionado com falhas graves na proteção de sistemas informáticos. Conforme anunciado oficialmente pela Procuradoria-Geral de Nova Iorque, a tecnológica comprometeu-se a pagar cerca de 16,6 milhões de euros (18 milhões de dólares) devido a um ciberataque sofrido em outubro de 2023, que comprometeu a privacidade de mais de 6,9 milhões de utilizadores.
O incidente teve origem numa vaga de acessos através de preenchimento de credenciais (credential stuffing). Recorrendo a este método, os invasores contornaram as defesas da plataforma e roubaram registos confidenciais que incluíam nomes completos, datas de nascimento, localizações, árvores genealógicas e relatórios detalhados de saúde. A empresa só detetou a intrusão meses mais tarde, quando parte dos dados foi colocada à venda na dark web, tendo inicialmente negado a falha e culpado os clientes pelas configurações das suas contas.
Falhas de segurança e insolvência
A investigação criminal coordenada por Letitia James, procuradora-geral de Nova Iorque, concluiu que a 23andMe falhou no desenvolvimento de salvaguardas básicas contra credenciais roubadas e na correção de vulnerabilidades conhecidas do sistema. Em março de 2025, asfixiada por pressões financeiras, a tecnológica declarou falência. A ação judicial da coligação de procuradores surgiu precisamente para salvaguardar a informação genética sensível dos cidadãos durante o processo de insolvência.
O desfecho da reestruturação financeira ditou que a totalidade da base de dados fosse vendida à TTAM Research, uma organização sem fins lucrativos fundada pela criadora e antiga CEO da marca, Anne Wojcicki. Esta entidade passou a gerir os ativos sob a designação de 23andMe Research Institute.
Novas regras e proteção do consumidor
O entendimento judicial estabelece que a empresa terá de implementar um programa de segurança de informação abrangente, acompanhado por avaliações periódicas de risco cibernético. Foi também decretada a criação de um Conselho Consultivo independente focado em segurança de dados para auditar e fiscalizar a eficácia dos novos processos organizacionais.
O acordo garante que os consumidores vão manter o direito de exigir a eliminação permanente e total dos seus registos a qualquer momento. Para os utilizadores de serviços digitais de saúde, o caso reforça a necessidade urgente de ativar mecanismos de autenticação de dois fatores e evitar a repetição de palavras-passe em múltiplas plataformas na internet.
Nenhum comentário
Seja o primeiro!