आनुवंशिक आंकड़ा कंपनी 23andme गोपनीयता अधिकारियों का कहना है कि “अपर्याप्त” सुरक्षा प्रणालियां थीं और चेतावनी के संकेतों के लिए “प्रतिक्रिया करने के लिए धीमी” थी कि ग्राहकों के संवेदनशील डेटा को “गहन रूप से हानिकारक” 2023 डेटा ब्रीच से पहले जोखिम में था, गोपनीयता अधिकारियों का कहना है।
कनाडाई गोपनीयता आयुक्त फिलिप ड्यूफ्रेसने और यूके के सूचना आयुक्त जॉन एडवर्ड्स ने अपनी संयुक्त जांच के परिणाम जारी किए उल्लंघन में मंगलवार को।
जांच में पाया गया कि दुनिया भर में लगभग सात मिलियन लोगों ने प्रभावित किया, लगभग 320,000 कनाडाई और ब्रिटेन में 150,000 से अधिक लोगों ने हैकर्स द्वारा उनकी संवेदनशील आनुवंशिक जानकारी से समझौता किया।
डुफ्रेसने ने कहा कि मंगलवार को ब्रीच डेटा सुरक्षा के महत्व के बारे में सभी संगठनों के लिए “सावधानी की कहानी” के रूप में कार्य करता है।
Dufresne ने कहा कि 23andme में लॉगिन प्रक्रिया के हिस्से के रूप में उचित प्रमाणीकरण और सत्यापन उपायों जैसे कि बहु-कारक प्रमाणीकरण और यहां तक कि मजबूत न्यूनतम पासवर्ड आवश्यकताओं के रूप में उचित प्रमाणीकरण और सत्यापन उपायों सहित सुरक्षा उपायों का अभाव था।
“डेटा उल्लंघनों के साथ गंभीरता और जटिलता और रैंसमवेयर और मैलवेयर हमलों में तेजी से बढ़ रहा है, तेजी से बढ़ रहा है, कोई भी संगठन जो डेटा सुरक्षा को प्राथमिकता देने के लिए कदम नहीं उठा रहा है और इन खतरों को संबोधित करता है, तेजी से कमजोर है,” डुफ्रेसने ने कहा।
जबकि कनाडा के गोपनीयता आयुक्त के पास जुर्माना लगाने की शक्ति नहीं है, यूके सूचना आयुक्त – और इस मामले में, 23andme कुल 2.31 मिलियन पाउंड का जुर्माना लगा रहा है।
एडवर्ड्स ने कहा कि जुर्माना 23andMe का परिणाम है “यूके उपयोगकर्ताओं की व्यक्तिगत जानकारी की सुरक्षा के लिए उपयुक्त सुरक्षा उपायों को लागू करने में विफल,” एडवर्ड्स ने कहा।
एडवर्ड्स ने कहा कि अक्टूबर 2023 के डेटा ब्रीच ने संवेदनशील व्यक्तिगत जानकारी, पारिवारिक इतिहास और यहां तक कि स्वास्थ्य स्थितियों को उजागर किया।
साप्ताहिक स्वास्थ्य समाचार प्राप्त करें
हर रविवार को आपको दी जाने वाली नवीनतम चिकित्सा समाचार और स्वास्थ्य जानकारी प्राप्त करें।
“यह एक गहरा हानिकारक उल्लंघन था,” उन्होंने कहा।
“23andme लोगों की जानकारी की सुरक्षा के लिए बुनियादी कदम उठाने में विफल रहा। सुरक्षा प्रणाली अपर्याप्त थी। चेतावनी के संकेत थे और कंपनी जवाब देने के लिए धीमी थी। इसने लोगों के सबसे संवेदनशील व्यक्तिगत डेटा को शोषण और नुकसान के लिए असुरक्षित छोड़ दिया।”
वह संवाददाताओं को बताने के लिए चला गया कि उनके कार्यालय ने उल्लंघन से प्रभावित लोगों से सुना था और कहा कि उन्हें उनके व्यक्तिगत, वित्तीय और पारिवारिक सुरक्षा के लिए क्या मतलब हो सकता है, इसके बारे में “चिंतित” महसूस किया।
डुफ्रेसने के अनुसार, उनकी जांच में पाया गया कि चोरी किए गए डेटा को ऑनलाइन बिक्री के लिए भी पेश किया गया था, जिसमें स्नेह व्यक्तियों की व्यक्तिगत जानकारी “आगे के जोखिम पर” थी।
कंपनी पिछले साल के अंत में मुकदमा चलाया उस पर 23andme ने 6.9 मिलियन ग्राहकों की गोपनीयता की रक्षा करने में विफल रहने का आरोप लगाया, जिनकी व्यक्तिगत जानकारी उल्लंघन में उजागर हुई थी। कंपनी को यूएस $ 30 मिलियन का भुगतान करने और तीन साल की सुरक्षा निगरानी प्रदान करने का आदेश दिया गया था।
उल्लंघन के बाद के महीनों में, कंपनी को कई मुद्दों का सामना करना पड़ा है, जिसमें सार्वजनिक लिस्टिंग में इसके मूल्य को 97 प्रतिशत से अधिक की गिरावट और पिछले सितंबर में इसके सात स्वतंत्र निदेशकों को इस्तीफा देकर शामिल किया गया था, जिसमें समाचार के बीच मूल संस्थापक कंपनी को एक बार फिर से निजी लेने की योजना बना रहा था।
कंपनी ने कभी लाभ नहीं कमाया है और मार्च में दिवालियापन के लिए दायर किया गयामांग में गिरावट और 2023 डेटा उल्लंघन के बाद नीलामी में अपने व्यवसाय को बेचने की कोशिश कर रहा है।
पिछले महीने रेगेनरॉन फार्मास्यूटिकल्स ने कंपनी को यूएस $ 256 मिलियन में खरीदने के लिए सहमति व्यक्त की, लेकिन सोमवार को 23andme के सह-संस्थापक ऐनी वोजिक्की ने अपने प्रस्ताव को हराकर कंपनी के लिए एक नई बोली प्रस्तुत करने से इनकार कर दिया, जिसमें गैर-लाभकारी नियंत्रण से 305 मिलियन अमेरिकी डॉलर की वृद्धि हुई।
उनके गैर-लाभकारी टीटीएएम रिसर्च इंस्टीट्यूट के अनुसार, मंगलवार के लिए अदालत की सुनवाई के बाद आने वाले हफ्तों में वोजसी की बोली बंद होने की उम्मीद है। गैर-लाभकारी ने कहा कि यह 23andme की मौजूदा गोपनीयता नीतियों को बनाए रखेगा और सभी लागू डेटा सुरक्षा कानूनों का पालन करेगा।
रिपोर्टर्स ने डुफ्रेस्ने से वोज्सकी के बारे में भी पूछा, जो डेटा ब्रीच के दौरान सीईओ थे, एक बार फिर से काम कर रहे थे और संभावित रूप से कंपनी के बाहर डेटा बेच रहे थे।
उन्होंने कहा कि कंपनी ने अपने और एडवर्ड्स के कार्यालयों द्वारा की गई कुछ सिफारिशों को संबोधित करने के लिए कदम उठाए हैं, और नए खरीदार से आश्वासन प्राप्त किया था कि वे मौजूदा गोपनीयता नीतियों और खंडों का सम्मान करेंगे।
“हमने रिपोर्ट में संकेत दिया है कि हम इस सावधानी से इसका पालन करेंगे, कि दायित्वों को किसी भी नए मालिक पर लागू करना जारी रखना चाहिए और अगर कोई चिंता है कि हमारे नागरिक हमारे पास पहुंच सकते हैं और हम उचित कदम उठाएंगे,” ड्यूफ्रेसने ने कहा।
उन्होंने कहा कि उनका कार्यालय जुर्माना नहीं लगा सकता है, यह सरकार को सिफारिशें कर रहा है और आवश्यकतानुसार अंतर्राष्ट्रीय समुदाय के साथ काम कर रहा है। उन्होंने कहा कि “उचित मामलों” में वह संघीय अदालत में भी एक संगठन पर बाध्यकारी दायित्व बनाने के आदेश की तलाश कर सकता है।
लेकिन एडवर्ड्स ने 23andme को एक और कड़ी चेतावनी जारी की कि अगर कार्रवाई नहीं की जाती है तो वे आगे जुर्माना और प्रवर्तन का सामना कर सकते हैं।
“ये चल रहे दायित्व हैं, इसलिए वे नेतृत्व के ध्यान के लिए तैयार किए गए हैं कि वे उल्लंघन में हैं,” एडवर्ड्स ने कहा। “वे यूके कानून द्वारा आवश्यक मानक तक पहुंचने में विफल रहे हैं। यदि वे उपाय नहीं करते हैं, तो वे उल्लंघन में रहेंगे और आगे प्रवर्तन कार्रवाई के लिए उजागर हो सकते हैं।”
– रायटर से फ़ाइलों के साथ
& कॉपी 2025 ग्लोबल न्यूज, कोरस एंटरटेनमेंट इंक का एक प्रभाग।
