Furto di dati genetici: cosa insegna il caso 23andMe

Il furto dati genetici della 23andMe non è stato un attacco sofisticato. Tra aprile e settembre 2023 un aggressore ha usato credenziali già rubate in violazioni precedenti e le ha provate sugli account della piattaforma fino a trovare le corrispondenze. Il risultato è stato l'accesso a quasi sette milioni di profili, con informazioni su salute, origine etnica e legami di parentela. L'indagine congiunta di Regno Unito e Canada ha ricostruito le carenze e ha portato a una sanzione, mentre il fallimento della società ha aggiunto una domanda nuova sulla sorte dei dati.

Un attacco comune con un esito enorme

Il meccanismo si chiama credential stuffing e non richiede competenze particolari. L'aggressore recupera elenchi di credenziali rubate da altri siti e le prova su una piattaforma diversa, contando sul fatto che molte persone riutilizzano la stessa password. Sulla 23andMe l'attacco è durato cinque mesi e ha permesso di accedere direttamente a oltre 18.000 account. Il numero finale di persone coinvolte, quasi sette milioni sui quattordici milioni di clienti dichiarati, è molto più alto perché una funzione della piattaforma moltiplicava l'esposizione. Il caso riguarda dati che non si possono cambiare come una password: il profilo genetico resta lo stesso per tutta la vita e identifica anche i familiari.

L'amplificazione del danno

La funzione DNA Relatives permetteva ai clienti di condividere alcune informazioni con i parenti genetici che comparivano tra le corrispondenze. Chi aveva attivato l'opzione esponeva, oltre ai propri dati, anche nome, anno di nascita, località, immagine del profilo e origine etnica delle persone collegate. Un account compromesso apriva così l'accesso a decine di profili. L'indagine ha osservato che le informazioni di quasi sette milioni di clienti sono diventate accessibili proprio per effetto di questa condivisione. Una funzionalità pensata per il valore del servizio ha allargato la superficie esposta senza che i controlli di sicurezza crescessero nella stessa misura.

Le carenze documentate dall'indagine

L'Information Commissioner's Office britannico e il Commissario per la privacy del Canada hanno indagato insieme e, nel giugno 2025, l'autorità del Regno Unito ha comminato una sanzione di 2,31 milioni di sterline. Il provvedimento elenca carenze precise. L'autenticazione a più fattori era opzionale e meno del 22% dei clienti l'aveva attivata, per scelta aziendale legata al timore di introdurre attrito nell'esperienza d'uso, con la conseguenza che per oltre tre quarti degli utenti la password restava l'unica protezione. La politica sulle password richiedeva un minimo di otto caratteri, sotto lo standard raccomandato dall'autorità. Mancavano controlli efficaci sulle credenziali già compromesse in altre violazioni, e non esisteva una verifica aggiuntiva per scaricare i dati grezzi del DNA, la categoria più sensibile. Il rilevamento era inefficace, il monitoraggio delle attività anomale insufficiente e tre segnali distinti non hanno prodotto una reazione. La risposta è stata lenta: quattro giorni per disattivare le sessioni attive e un mese per disabilitare il download dei dati grezzi e rendere obbligatoria l'autenticazione a più fattori.

Le conclusioni riguardano il livello di protezione commisurato alla sensibilità dei dati. L'azienda non aveva misure adeguate a un patrimonio informativo che, per natura, non ammette sostituzione.

Il fallimento e la sopravvivenza dei dati

Nel marzo 2025 la 23andMe ha avviato la procedura di fallimento e la fondatrice ha lasciato la guida. L'autorità californiana ha diffuso un avviso ai consumatori proprio per la sorte dei dati genetici detenuti dalla società, e la vicenda si è chiusa con il passaggio delle attività a un nuovo soggetto. L'episodio introduce un rischio che raramente entra nelle valutazioni. Un fornitore che custodisce dati critici può cessare l'attività, e i dati possono passare a un proprietario diverso da quello con cui il cliente ha firmato il consenso. La custodia va oltre il rapporto con l'azienda con cui si è stipulato il contratto: sopravvive all'azienda stessa, e con essa cambia il contesto in cui i dati vengono trattati.

Cosa insegna a chi custodisce dati sensibili

Le carenze elencate nel provvedimento compongono una lista di controllo che vale per qualsiasi organizzazione, indipendentemente dal settore. L'autenticazione a più fattori va resa obbligatoria per gli accessi che toccano dati critici. Le credenziali vanno verificate contro gli elenchi di password compromesse. I dati più sensibili richiedono una verifica aggiuntiva prima di essere scaricati, anche da un account legittimo. La raccolta va limitata a ciò che serve, perché ogni informazione in più amplia il danno potenziale. Il rilevamento e la registrazione delle attività anomale devono produrre segnali che qualcuno è in grado di leggere. Le procedure di risposta vanno definite prima dell'incidente, quando il tempo non è ancora una variabile critica. Chi tratta dati per conto di terzi aggiunge un ultimo elemento: una clausola che regoli cosa accade in caso di insolvenza del fornitore, perché il mercato dei dati rubati non conosce confini societari.

Cosa resta

La vicenda 23andMe mostra che la qualità dell'attacco conta meno della qualità delle difese. Un elenco di credenziali riciclate ha prodotto uno dei più vasti episodi di esposizione di dati genetici, e le vulnerabilità erano note e documentate. Per un'impresa che tratta dati personali di clienti o dipendenti, la domanda utile riguarda quali accessi portano alle informazioni più delicate e con quali controlli: la risposta cambia il livello di rischio molto più di qualsiasi investimento in strumenti aggiuntivi.