カリフォルニア州は、2023年のデータ漏洩をめぐるセキュリティ上の不備や誤解を招く発言の疑いについて、DNA検査会社23andMeの旧経営陣を提訴した。
2026年5月27日、ロブ・ボンタ司法長官はサンフランシスコ上級裁判所に訴訟を起こした。 Chrome ホールディングカンパニーは、23andMeの破産後、同社の残存資産を現在管理している会社です。
カリフォルニア州の訴状は、23andMeが機密データを保護するための合理的なセキュリティ対策を講じていなかったと非難し、同州の複数のプライバシー法および消費者保護法に違反したと主張している。また、同社が自社のセキュリティ対策について誤解を招くような発言を行ったとも非難している。
2023年のこの攻撃では、23andMeのログインページに対して、昔ながらの「クレデンシャルスタッフィング」の手法が用いられた。攻撃者は約5か月間、誰にも気づかれることなくシステム内に潜伏していた。直接的な被害は小規模で、影響を受けたアカウントは約1万4000件にとどまったが、攻撃者にとっては、700万人弱の顧客データを盗み出すのに、それだけで十分だった。
侵入者は、同プラットフォームの主力機能である「DNA Relatives」を通じて、これらのアカウントからさらに攻撃範囲を広げた。この機能は、DNAの類似性に基づいてユーザーが誰と血縁関係にあるかを特定できるものであった。訴訟では、この機能に重大なコーディング上の欠陥があったため、犯行グループが血縁関係でつながった他の数百万人のユーザーからデータを不正に取得することが可能になったと主張されている。
「被害者非難」の主張が証拠となった
情報漏洩が公表された後、23andMeは被害者の代理人に対し、以前に侵害されたサイトからパスワードを流用したユーザー側に責任があるとする書簡を送付した。同社は、流出したデータはユーザー自身の意思で提供されたものであり、「金銭的損害」をもたらすことはないとの見解を示した。
しかし、遺伝子データの盗難による被害は、金銭的な損失にとどまらない。盗まれた遺伝子情報により、犯人は個人の遺伝的ルーツを特定することが可能になった。
報道によると、このデータはダークウェブ上で、こうした情報を売り文句として販売されていたとのことで、売り手は例えばアジア系アメリカ人・太平洋諸島系（AAPI）やユダヤ系の顧客に関する記録を提供することができた。ボンタ検事局は、当時、反ユダヤ主義による暴力事件が増加傾向にあったことを指摘した。
この書簡ではユーザーに責任を転嫁しようとしているものの、パスワードの流用によって直接侵害されたアカウントはわずか約1万4000件にとどまった。残りのデータは、23andMe社の自社製品を通じて流出したとされる。訴状によると、「DNA Relatives」のコーディングミスにより、侵害された1万4000件のアカウントに関連するユーザーだけでなく、同サービスに登録していたすべてのユーザーのデータが流出していた。
州は損害賠償を請求できるか？
カリフォルニア州は、違反1件につき1,000ドルから7,500ドルの法定罰金を科す方針だ。影響を受けたユーザーのうち85万5,541人がカリフォルニア州民であるため、罰金総額は急速に膨れ上がる可能性がある。
問題は、州が訴訟に勝訴した場合にどれだけの金額を徴収できるかということだ。23andMeは2025年3月に連邦破産法第11条を申請し、その後、1500万人以上の顧客のゲノムデータを含む資産の大部分を、元23andMe CEOのアン・ウォジツキが設立した非営利団体TTAMリサーチ・インスティテュートに売却した。カリフォルニア州と他のいくつかの州は、遺伝子情報に関するこの売却に反対した。 Privacy 州側は法律上の根拠に反するとして却下したが、連邦破産裁判官はこれを承認した。州側は現在、この決定を不服として控訴している。
Chrome 23andMeの残骸であるホールディング社は、この売却で3億500万ドルを受け取った。しかし、残された資産をすでに他の企業が買い漁り始めている。
他の規制当局は既に調査を終えている。英国情報コミッショナー事務局は昨年6月、共同調査の結果、23andMeに231万ポンドの罰金を科した。 Privacy カナダのコミッショナー。連邦裁判所は当初、米国顧客のほとんどの請求を対象とする3,000万ドルの集団訴訟和解案を承認した。この和解案は後に5,000万ドルに増額され、2026年1月に最終承認を受けた。
お客様ができること
23andMeで検査を受けた場合でも、情報漏洩時の標準的な対応策は依然として有効です。他のサイトで再利用していたパスワードはすべて変更し、多要素認証が利用可能な場合は必ず有効にしてください。クレデンシャルスタッフィング攻撃は、すでに他の場所で流出したユーザー名やパスワードに対してのみ有効です。また、23andMeや今回の情報漏洩自体を名指しにしたフィッシング攻撃にも注意してください。さらに、DNA検査サービスを利用するメリットとセキュリティ上のリスクを慎重に比較検討することをお勧めします。
なぜなら、この問題には、いかなる罰金や和解金でも解決できない側面があるからだ。ダークウェブで売買された盗まれた遺伝子データは、取り戻すことができない。パスワードは変更できるが、DNAはそうはいかない。
誰にも見られていないかのように、自由に閲覧してください。
Malwarebytes Privacy VPN 接続を暗号化し、あなたの行動を一切記録しないので、次に読む記事が個人的なものだと感じられることはありません。無料でお試しください →
