23andMe estaria transferindo a culpa de volta para seus clientes

Mecânica e Escala da Violação

• Atacantes usaram credenciais previamente comprometidas em outros sites para acessar ~14.000 contas da 23andMe (credential stuffing).
• A partir dessas contas, eles usaram um recurso de “DNA Relatives” / “relative finder” para visualizar dados de cerca de 7 milhões de perfis.
• Comentadores observam que o artigo é vago: “obter acesso” provavelmente significa visualizar perfis de parentes (nomes, % de DNA compartilhado, locais, informações genealógicas), e não tomada completa da conta para todos os 7 milhões.
• Alguns acham que os números na mídia estão inflados ou são enganosos, mas outros argumentam que eles refletem o quão séria é a vinculação de dados em grande escala.

Responsabilidade: Usuários vs 23andMe

• Uma corrente diz que quem reutiliza senhas carrega grande parte da culpa; o armazenamento de senhas da própria 23andMe não foi violado.
• Outra corrente argumenta que os provedores precisam assumir que usuários reutilizam senhas e projetar seus sistemas para isso; culpar os usuários é visto como desvio de responsabilidade.
• Vários fazem analogias entre o dever de cuidado da 23andMe e o de bancos, ou ao menos o de plataformas que guardam informações altamente sensíveis, afetando parentes que nunca se inscreveram.

Medidas de Segurança Propostas e Ausentes

• Muitos argumentam que a 2FA deveria ter sido obrigatória desde o início, especialmente para dados biométricos/genéticos; a 23andMe só a impôs após o incidente.
• Controles sugeridos:
  • Defesas contra credential stuffing e limitação de taxa entre IPs/contas.
  • Verificações no estilo Have I Been Pwned contra senhas conhecidas vazadas.
  • Pontuação de risco por dispositivo/localização/IP e desafios extras (links por e-mail, SMS, prompts no app, CAPTCHAs).
• Alguns profissionais observam que, na prática, muitas empresas ignoram tais recomendações, por considerá-las caras ou ruins para conversão.
• Outros reagem contra a obrigatoriedade da 2FA, citando usabilidade, falta de suporte universal (por exemplo, passkeys) e preocupações de privacidade com rastreamento de dispositivo/telefone.

Recurso DNA Relatives e Consentimento

• O recurso permite que usuários opt-in vejam uma lista de parentes genéticos (frequentemente milhares de pessoas) e detalhes como nome, localização aproximada e segmentos de DNA compartilhados.
• Os usuários achavam que estavam compartilhando apenas com um pequeno círculo de parentes confirmados; em vez disso, atacantes puderam agregar milhões de perfis por meio de alguns milhares de contas comprometidas.
• Usuários afetados relatam ter sido informados de que suas próprias senhas não foram usadas indevidamente; seus dados vazaram apenas porque apareciam como parentes de contas invadidas.
• Alguns comparam isso ao Facebook: comprometer uma conta revela dados de amigos para muitos outros; outros dizem que, com DNA, os riscos são muito maiores.

Sensibilidade e Riscos Posteriores dos Dados Genéticos

• Debate sobre “o quão crítico” esse dado é:
  • Visão cética: atacantes não conseguem facilmente cometer roubo de identidade; anunciantes não precisam de genes quando dados comportamentais bastam.
  • Visão preocupada: dados genéticos podem ser ligados a perfis de marketing, usados para anúncios direcionados a doenças, vendidos a terceiros não regulamentados ou mal utilizados por seguradoras/empregadores.
• Comentadores destacam impactos mais amplos:
  • DNA implica parentes que nunca optaram por isso; o teste de uma pessoa pode revelar segredos familiares ou riscos médicos.
  • A aplicação da lei já usa bancos de dados de genealogia (por exemplo, casos de serial killers de alto perfil, retenção de DNA de pessoas presas).
  • Governos e bancos nacionais de genes coletando DNA levantam questões de longo prazo sobre liberdades civis.

Regulação, Comparações e Preocupações Mais Amplas

• Alguns argumentam que serviços assim deveriam ser regulados mais como instituições financeiras ou infraestrutura crítica, dada a irreversibilidade da exposição genética.
• Outros respondem que hoje eles não são regulados dessa forma; os usuários concederam conscientemente permissões amplas e de longo prazo a uma startup pouco regulamentada.
• Comparação com redes sociais: para muitos clientes, o valor central é justamente esse compartilhamento/matching em grande escala, então proibi-lo pode exigir soluções regulatórias, não apenas mudanças no produto.

Críticas à Cobertura e à Comunicação

• Vários chamam o artigo original de pobre em detalhes técnicos e rico em apontar culpados, especialmente em torno da narrativa “14 mil → 7 milhões”.
• A comunicação pública da 23andMe é amplamente criticada como insensível: vista como enfatizando a culpa do usuário, minimizando suas próprias falhas de design e segurança, e convidando reação jurídica e danos à reputação.