ゆめさくセキュリティ

2023年10月1日に発覚、海外、個人向け遺伝子検査・系譜サービス

23andMe 使い回しパスワードの乗っ取り被害

使い回しパスワードの乗っ取りで、DNA血縁機能を通じ約700万人分の情報が漏れた

何があったか

23andMeは個人向けの遺伝子検査サービスで、顧客は検査結果に加え「DNA Relatives」という血縁が近い他の利用者と情報を共有し合う機能を使えた。2023年4月29日ごろ、何者か (報告書は「threat actor」と呼ぶ) が他のサービスから漏れたメールアドレスとパスワードの組み合わせを使い、ログインを繰り返す攻撃を始めた。5月1日から16日には18万3,380回の失敗と9,974回の成功したログインがあり、攻撃者は乗っ取った口座からDNA血縁情報や祖先の情報、健康情報を抜き取った。6月、8月、9月にも同様の抜き取りが繰り返された。

2023年8月、1,000万人分のデータが流出したとの投稿があったが、23andMeは虚偽だと判断して本格調査をしなかった。10月1日、社員がRedditへの投稿で顧客データが売りに出されていることに気づき、ようやく侵害を確認した。10月6日に流出をブログで公表し、10月9日に全セッションを無効化、10月10日にパスワードの強制リセットとメール通知を行った。全顧客への多要素認証の義務化は11月9日までかかった。

12月、社内調査により侵害の手口が使い回しパスワードを突く攻撃だったと判明。英国の情報コミッショナー事務局 (ICO) とカナダのプライバシーコミッショナー事務局 (OPC) が合同調査を始め、2025年6月にICOが約231万ポンドの制裁金を科し、OPCも共同の調査報告書を公表した。パスワードを乗っ取られた口座は世界で18,222件 (英国611件、カナダ769件) にとどまったが、DNA Relatives機能で血縁者の情報が連鎖的に見えたため、世界で約700万人分の情報が閲覧された。

入口
他のサービスから漏れたメールアドレスとパスワードの組み合わせを使い、2023年4月29日ごろから少なくとも5か月にわたって使い回しパスワードを突く攻撃 (クレデンシャルスタッフィング) が行われた
決め手の失敗
多要素認証が任意設定で、乗っ取り当時はMFAかSSOを使っていた顧客が全体の2割程度にとどまっていた。パスワードの最低文字数は8文字と業界の目安より短く、漏えい済みパスワードの照合も不十分だった。DNA Relatives機能を使うと、乗っ取られた1口座から血縁関係にある多数の他人の情報が連鎖的に見えてしまう設計だった
被害
世界で約700万人、うち英国在住者155,592人 (のちの報告で156,204人)、カナダ在住者約31万9,635人の個人情報が閲覧された。パスワードを乗っ取られた口座自体は世界で18,222件 (英国611件、カナダ769件)。閲覧された情報には氏名、生年、自己申告の居住地、プロフィール画像、人種や民族的出自、家系図、健康報告書、2人分の生の遺伝子データが含まれた

攻撃の流れ

  1. 入口他社サービスから過去に流出したメールアドレスとパスワードの組み合わせを使い、23andMeのログイン画面に自動で打ち込むクレデンシャルスタッフィング攻撃が2023年4月29日ごろから始まった
  2. 拡大5月1日から16日に18万3,380回の失敗と9,974回の成功ログインがあり、乗っ取った口座からDNA Relatives、祖先情報、健康データを抜き取った。同様の抜き取りは6月、8月、9月にも繰り返され、5月から9月の累計で成功ログイン約1万4,601回、失敗ログイン約27万3,465回に達した
  3. 連鎖的な閲覧DNA Relatives機能に参加していた口座では、乗っ取られた1口座から血縁関係にある別の利用者の表示名、血縁関係、生年、居住地なども閲覧できたため、乗っ取られた口座数 (世界で18,222件) をはるかに上回る約700万人分の情報が閲覧可能になった
  4. 見逃し2023年8月に1,000万人分のデータ流出を主張する投稿があったが、23andMeは虚偽だと判断して本格的な調査をしなかった。複数の兆候があったにもかかわらず侵害の確認は10月までずれ込んだ
  5. 発覚と対応の遅れ10月1日に社員がRedditの投稿で顧客データの販売を把握し、侵害を確認した。全セッションの無効化とパスワードリセットまでに約4日、生の遺伝子データのダウンロード機能の停止と多要素認証の義務化までに約1か月を要した

数字で見る

  • 約700万人 世界全体で情報が閲覧された顧客[3] ICO発表文より
  • 155,592人 英国在住の対象者[1] ICOの制裁金通知書の数値。のちの第3回侵害報告では156,204人
  • 319,635人 カナダ在住の対象者[2]
  • 18,222件 クレデンシャルスタッフィングで乗っ取られた口座 (世界)[2] うち英国611件、カナダ769件
  • 2023年4月29日から9月20日 攻撃継続期間[2]
  • 231万ポンド ICOの制裁金[1] 当初通知した案は459万3,750ポンド
  • 22%未満 MFAまたはSSOを使っていた顧客の割合 (侵害当時)[2]

気づいたきっかけ

2023年10月1日、23andMeの社員がRedditへの投稿で顧客の遺伝的データが売りに出されていることに気づき、侵害を確認した。8月時点で1,000万人分のデータ流出を主張する投稿があったが、当時は虚偽と判断して本格調査をしていなかった

対応と復旧

10月9日に全ての有効なログインセッションを無効化し、10月10日に顧客へ通知してパスワードの強制リセットを求めた。11月2日に生の遺伝子データの自己サービスダウンロード機能を一時停止し、11月9日に全ての新規・既存顧客に多要素認証を義務化した。2024年2月27日にダウンロード機能を再開し、ダウンロード申請と通知メールの間に48時間の遅延、生年月日の追加確認を導入した

組織が認めた原因と、決めた対策

認めた原因

  • 多要素認証を必須にせず任意の設定にしていた
  • パスワードの最低文字数や複雑性の要件が不十分で、漏えい済みパスワードの使用を防ぐ確認も不十分だった
  • 利用者が予測しやすいメールアドレスをユーザー名として使う方式のままで、予測しにくいユーザー名を選べるようにしていなかった
  • 生の遺伝子データなどの特別カテゴリーのデータへのアクセスやダウンロードに特化した追加の保護策がなかった
  • 顧客の個人データへの脅威を監視・検知・適切に対応する仕組みがなかった
  • クレデンシャルスタッフィング攻撃を想定した侵入テストやセキュリティ演習を行っていなかった
  • クレデンシャルスタッフィングへの対応手順 (プレイブック) がなく、対応が遅れた

公表した再発防止策

  • 全顧客に対するメールベースの二段階認証 (2SV) を必須化した
  • パスワードの最低文字数と複雑性の要件を強化した
  • 漏えい済み認証情報との照合をより頑健な仕組みに改めた
  • 生の遺伝子データのダウンロードに生年月日などの追加確認を導入した
  • アカウントの異常なふるまいを継続的に評価し検知する仕組みを導入した

自分のサービスで確かめること

  • 多要素認証を全利用者に必須にしているか、任意設定のまま放置していないか確かめる
  • パスワードの最低文字数や複雑性の要件、漏えい済みパスワードとの照合の仕組みがあるか確かめる
  • ある利用者の情報が、別の利用者の口座を通じて連鎖的に見える設計になっていないか確かめる
  • ログイン失敗の急増や大量の成功ログインなど、クレデンシャルスタッフィングを示す兆候を検知する仕組みがあるか確かめる
  • 被害の疑いを示す投稿や通報を軽視せず、本格調査に進める判断基準と手順があるか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2023年
  2. 4月29日 侵入 クレデンシャルスタッフィング攻撃が始まった (のちの調査で判明した開始時点)[1]
  3. 5月 侵入 5月1日から16日にかけて大規模なログイン試行があり、乗っ取った口座から情報を抜き取った[1]
  4. 10月1日 発覚 社員がRedditの投稿で顧客データの販売を把握し、侵害を確認した[1]
  5. 10月6日 公表 ブログで顧客プロフィールへの不正アクセスを発表した[1]
  6. 10月9日 対応 全てのログインセッションを無効化した[1]
  7. 10月10日 対応 顧客にメールで通知し、パスワードの強制リセットを求めた[1]
  8. 10月15日 公表 ICOに最初の侵害報告書を提出した[1]
  9. 11月2日 対応 生の遺伝子データの自己サービスダウンロード機能を一時停止した[1]
  10. 11月9日 対応 全ての新規・既存顧客に多要素認証を義務化した[1]
  11. 12月 対応 社内調査が完了し、侵害がクレデンシャルスタッフィングによるものと判明した[1]
  12. 2024年
  13. 2月27日 復旧 生の遺伝子データのダウンロード機能を再開し、通知メールの遅延と生年月日確認を追加した[1]
  14. 2025年
  15. 6月5日 処分 ICOが23andMeに231万ポンドの制裁金を科す通知書を発行した[1]
  16. 6月 公表 カナダのOPCがICOとの合同調査報告書 (PIPEDA Findings #2025-001) を公表した[2]

攻撃した側について

ICOの制裁金通知書は攻撃者を「threat actor」とだけ表記し、侵害が単一の個人または集団によるものだという確証は得ていないと注記している。公的機関による攻撃者の名指しはない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. Monetary Penalty Notice to 23andMe, Inc. Information Commissioner's Office (UK)、2025年6月5日、公的機関の資料
  2. PIPEDA Findings #2025-001 Joint investigation into a data breach at 23andMe by the Privacy Commissioner of Canada and the UK Information Commissioner Office of the Privacy Commissioner of Canada、2025年6月17日、公的機関の資料
  3. 23andMe fined £2.31 million for failing to protect UK users' genetic data Information Commissioner's Office (UK)、2025年6月17日、公的機関の資料