캘리포니아, 23앤드미 유전정보 유출 소송 제기

캘리포니아 주 법무장관 롭 본타(Rob Bonta)가 유전자 검사 기업 23앤드미(23andMe)를 상대로 소송을 제기했다. 2023년 해킹으로 약 700만 명의 유전 정보가 유출됐음에도 회사가 기본적인 보안 조치를 소홀히 했다는 이유다.

이번 사안은 오렌지카운티(OC) 아시아계 커뮤니티와도 직접 연관된다. 유출 데이터 중 약 110만 건이 아시아·태평양계(API) 및 아슈케나지 유대계 이용자를 집중 표적으로 삼은 것으로 드러났다.

해커들은 '크리덴셜 스터핑(credential stuffing)' 기법을 사용했다. 2017년 유전자 계보 서비스 마이헤리티지(MyHeritage) 해킹 때 유출된 계정 정보를 23앤드미 로그인에 대입해 약 1만 4천 개 계정에 침투한 뒤, 이를 발판으로 약 700만 명의 고객 데이터를 빼냈다고 ABC7 로스앤젤레스가 보도했다.

해킹은 5개월 이상 탐지되지 않았다. 검찰 측 소장에 따르면 2023년 7월 비정상적인 로그인 급증과 8월 레딧(Reddit)의 침해 관련 게시글 등 경고 신호가 잇달았지만 23앤드미는 제대로 조사하지 않았다. 회사가 수사에 나선 것은 해커가 다크웹에 데이터를 올리고 직접 회사에 연락해 몸값을 요구한 2023년 10월 이후였다.

검사들은 소장에서 "23앤드미의 보안 조치가 너무 허술해 위협 행위자가 5개월 이상 시스템 안에서 탐지되지 않고 활동했으며, 놀랍게도 회사는 다크웹 판매 및 몸값 요구를 받고 나서야 비로소 조사를 시작했다"고 지적했다.

롭 본타 법무장관은 아시아·태평양계와 유대계 이용자가 집중 표적이 된 점을 강하게 비판했다. 그는 보도자료에서 "이 데이터가 다크웹에서 거래된 시기는 반(反)아시아·태평양계 및 반유대적 혐오와 폭력이 고조되던 때"라며 "이는 매우 심각하고 위험한 상황"이라고 말했다.

탈취된 정보에는 원시 유전자 데이터, 건강 예측 보고서, 친족 DNA 공유 데이터, 생년 및 거주 지역 등 개인 식별 정보가 포함됐다. 소장은 또 23앤드미가 침해 이후 피해 규모를 축소하는 오해의 소지가 있는 발표를 했다고 주장하고 있다.

23앤드미는 2026년 3월 파산을 신청한 뒤 '크롬 홀딩 컴퍼니(Chrome Holding Co.)'로 사명을 변경했으며, 이번 소송은 새 사명으로 제기됐다. 캘리포니아 법무장관실은 민사 제재금 부과와 주 개인정보보호법 추가 위반 금지 명령을 요청하고 있다.