23andMe

遺伝子検査会社の23andMe（現Chrome Holding Co.）は、顧客の遺伝子データを適切に保護しなかったとして、43州の司法長官からなる連合からの請求に対し、1,800万ドルの支払いで和解することに合意した。

23andMeは、2023年4月から9月までの5か月間にわたり気付かれずに続いていた「クレデンシャルスタッフィング」攻撃を受け、2023年10月に大規模なデータ漏洩を公表した。

この事件の際、攻撃者は690万人の顧客のデータ（遺伝的祖先情報を含む）を盗み出した。その一部は後にダークウェブで売り出され、攻撃者らはデータが本物であることを証明するために数百万件の 遺伝子プロファイルを 流出させた。

image

ニューヨーク州のレティシア・ジェームズ司法長官は火曜日、事件の公表後に開始された複数州による合同調査の結果、同社にはパスワードのブロックリスト登録や多要素認証といった認証情報に基づくサイバー攻撃に対する基本的な防御策に加え、適切なレート制限、侵入防止、および侵害検知モニタリングが欠けていたことが判明したと述べた。

また、捜査当局は、23andMeが異常なログイン活動への対応や既知の脆弱性の修正を怠っていたことも突き止めた。ジェームズ司法長官によると、同社は当初、情報漏洩の発生を否定し、その後、この事件の原因を顧客のアカウントやパスワードの管理不備に帰していたという。

今回の和解により、TTAM社には、データセキュリティ諮問委員会の設置、リスク分析プロトコルの策定、および消費者が自身のデータを削除する権利の継続的な保障など、新たなセキュリティ要件が課されることになった。

「企業には、顧客の個人情報をハッカーから保護する義務があるが、23andMeは杜撰なセキュリティ対策により、数百万人の顧客を危険にさらした」とジェームズ氏は指摘した。

「ニューヨーク市民は、自身の機密性の高い個人的な遺伝子データを23andMeに託したが、そのデータが盗まれ、インターネットの闇市場で売り出されていたことが判明した。我々の連合による措置の結果、23andMeは法令違反の代償を支払うことになり、顧客を保護するための厳格な規則が導入されることになる。」

集団訴訟、罰金、和解

2023年のデータ漏洩事件は、複数の集団訴訟にもつながり、これを受けて23andMeは2023年11月、訴訟を起こしにくくするために利用規約を改定した。同社は当時、この変更は仲裁手続きを簡素化することのみを目的としていると主張していた。

2024年9月、カリフォルニア州に拠点を置くこの遺伝子検査プロバイダーは、2023年のデータ漏洩をめぐるある集団訴訟の和解金として3,000万ドルを支払うことに合意した。

23andMeは2025年3月、連邦破産法第11章に基づく破産手続きを申請し、数年にわたる財政難を経て資産を売却する計画を発表した。これを受けて、ジェームズ氏と連合は関連する請求を提起した。

2025年6月、ジェームズ氏と他の27人の司法長官は、破産手続き中に顧客の遺伝子データを保護するため、訴訟を起こした。 同月、英国情報コミッショナー事務所（ICO）は、2023年に「甚大な損害」をもたらしたデータ漏洩につながった「重大なセキュリティ上の欠陥」を理由に、23andMeに対し231万ポンド（312万ドル）の罰金を科した。

その4か月後の2025年7月、非営利団体TTAMリサーチ・インスティテュート（現在は23andMeリサーチ・インスティテュートとして再登録され、23andMeの共同創業者アン・ウォジッキが率いる）は、同社の全資産を取得するために3億500万ドルを支払うことに合意し、このDNA検査大手企業の買収を完了した。