Dna-testbedrijf 23andMe heeft wegens een datalek besloten om de wachtwoorden van 14 miljoen gebruikers te resetten. In eerste instantie werd gebruikers aangeraden dit zelf te doen. Vorige week werd bekend dat aanvallers door middel van een credential stuffing-aanval gegevens van gebruikers hadden gestolen, die vervolgens op een forum te koop werden aangeboden.

Het gaat onder andere om naam, geslacht, geboortejaar, profielfoto en details over de dna-test, zoals afkomst. Via 23andMe kunnen gebruikers hun dna laten testen om te zien waar hun voorouders vandaan kwamen, maar kan er ook worden getest op gezondheidsgerelateerde zaken. Bij credential stuffing proberen aanvallers of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan.

In dit geval zijn echter ook gebruikers getroffen die wel van een sterk, uniek wachtwoord gebruikmaakten. Nadat de aanvallers toegang tot een 23andMe-account hadden gekregen maakten ze namelijk, als het account zich hiervoor had aangemeld, gebruik van de 'DNA Relatives' service om ook data over andere gebruikers in de database te stelen. Via deze service kunnen gebruikers verwanten vinden die hun dna ook via 23andMe hebben laten testen. Van hoeveel gebruikers de gegevens zijn gestolen is onbekend.

Volgens 23andMe is het onderzoek naar de datadiefstal nog gaande, maar heeft het nu besloten om van alle veertien miljoen klanten die het zegt te hebben de wachtwoorden te resetten. Daarnaast wordt het gebruik van multifactorauthenticatie aangeraden. Verder zullen klanten van wie het account via de credential stuffing-aanval is gecompromitteerd direct door 23andMe worden ingelicht.