De Spaanse privacytoezichthouder AEPD heeft dna-testdienst 23andMe wegens een zeer gevoelig datalek een boete van 2,4 miljoen euro opgelegd. Het bedrijf kreeg vorig jaar van de Britse privacytoezichthouder ICO al een boete van omgerekend 2,7 miljoen euro. Daarnaast moest 23andMe in de Verenigde Staten als onderdeel van een schikking van 30 miljoen dollar betalen. Bij het datalek, dat zich begin 2023 voordeed, werden de afstammingsgegevens van 6,9 miljoen gebruikers gestolen, waaronder ook Spaanse gebruikers. Het ging onder andere om genetische data, adresgegevens, etnische afkomst, familierelaties, foto's en gezondheidsdata.

Via 23andMe en soortgelijke bedrijven kunnen gebruikers hun dna laten testen om te zien waar hun voorouders vandaan komen en in contact te komen met andere familieleden op het platform. Daarnaast kan er ook worden getest op gezondheidsgerelateerde zaken. In 2023 wisten aanvallers via een credential stuffing-aanval op de accounts van veertienduizend gebruikers in te breken. Bij credential stuffing-aanvallen proberen aanvallers of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan.

Nadat de aanvallers toegang tot de accounts hadden gekregen wisten ze vervolgens de afstammingsgegevens van 6,9 miljoen gebruikers te stelen, die gebruik hadden gemaakt van de DNA Relatives-feature. Via deze feature is het mogelijk om andere familieleden op het platform te vinden en meer over de eigen afstamming te weten te komen. Het gaat hier om een optionele feature. Veel gebruikers hebben deze feature echter ingeschakeld, omdat ze juist verwanten via 23andMe willen vinden.

Volgens de AEPD had 23andMe de persoonlijke gegevens van gebruikers niet goed beveiligd. Vanwege de gevoelige aard van de gegevens die het verwerkte was dit wel noodzakelijk, aldus de toezichthouder. Multifactorauthenticatie (MFA) werd pas eind 2023 verplicht gesteld, een maand nadat het datalek bekend was gemaakt. Daarvoor was het gebruik van MFA optioneel en maakten veruit de meeste gebruikers hier geen gebruik van.

Daarnaast waren er ook geen extra beperkingen of controles ingevoerd zodra er toegang tot een account was verkregen, zoals voor het downloaden van bijzonder gevoelige gegevens. De AEPD stelt dat 23andMe dan ook meerdere artikelen van de AVG heeft overtreden en een boete van 2,4 miljoen euro gerechtvaardigd is. Meer dan 2600 Spanjaarden werden slachtoffer van het datalek (pdf).