נפגעי דליפת 23andMe יקבלו פיצוי של 46.75 מיליון דולר

בית משפט לפשיטות רגל בקליפורניה קבע ביום שלישי כי נפגעי מתקפת הסייבר על חברת בדיקות ה-DNA 23andMe יקבלו פיצוי כולל של 46.75 מיליון דולר. לפי ההחלטה, התשלום יועבר בתוך חמישה ימי עסקים ל-Kroll Restructuring, הגוף שמטפל בייצוג הנפגעים, ובהמשך יחולק למי שזכאים לפיצוי.

ההכרעה נוגעת לאחת מפרשות הפרטיות הבולטות בשוק בדיקות הגנטיקה לצרכן. 23andMe בונה למשתמשים פרופילים גנטיים על סמך ערכות DNA ביתיות, ולכן המידע שנשמר אצלה נחשב רגיש במיוחד: לא רק פרטים מזהים, אלא גם סמנים גנטיים, היסטוריה משפחתית ולעתים גם מידע בעל משמעות בריאותית.

כך התרחבה הפריצה מעשרות אלפים למיליונים

לפי פרטי הפרשה, ההאקרים הצליחו ב-2023 לחדור לכ-14 אלף חשבונות משתמשים. אלא שבשל מבנה השירות של 23andMe, הגישה לא נעצרה שם. דרך אותם חשבונות ניתן היה להגיע גם לפרופילים של קרובי משפחה המקושרים אליהם במערכת, וכך נפתחה דלת למידע של עד 6.9 מיליון בני אדם.

הפער בין מספר החשבונות שנפרצו ישירות לבין היקף החשיפה הכולל ממחיש את עומק הבעיה: גם משתמש שלא חשבונו נפרץ בעצמו עלול היה להיפגע, משום שמידע עליו הופיע בקשרי המשפחה ש-23andMe מציגה ללקוחותיה. במקרה של מאגר גנטי, המשמעות חורגת מהיבט טכני של אבטחת מידע ונוגעת גם לשאלות כבדות משקל של פרטיות, הסכמה ושימוש עתידי בנתונים.

החברה קרסה, והמחליפה תישא בתשלום

הפיצוי יגיע מ-Chrome Holding, החברה שקיבלה לידיה בשנה שעברה את השליטה ב-23andMe אחרי הליך פשיטת הרגל. החברה פועלת בשם TTAM Research Institute ומנוהלת בידי אן ווג'יצקי, ממייסדות 23andMe. ווג'יצקי זכתה בנכסי החברה במכרז שנערך במסגרת פשיטת הרגל, בהצעה של 305 מיליון דולר.

העובדה שהסדר הפיצוי נקבע במסגרת בית משפט לפשיטות רגל מלמדת עד כמה הפריצה השפיעה גם על מצבה העסקי של 23andMe. החברה, שנוסדה ב-2006 והונפקה ב-2021, הגיעה בשיאה לשווי של כ-6 מיליארד דולר, אך מעולם לא עברה לרווחיות. בתחילת השנה שעברה היא פנתה להגנה מפני נושים, כ-18 חודשים אחרי אירוע הסייבר.

קנסות, חקירות ותביעה מצד קליפורניה

פרצת המידע לא הסתיימה רק בדרישת פיצוי לנפגעים. הרשויות פתחו בחקירות, והחברה גם נקנסה. בין היתר, נציבות המידע הבריטית הטילה עליה קנס של 2.31 מיליון ליש"ט, לאחר שקבעה כי לא ננקטו אמצעים מספקים להגנה על מידע רגיש של משתמשים לפני האירוע.

בחודש מאי הגיש התובע הכללי של קליפורניה, רוב בונטה, תביעה נגד החברה, לאחר שלדבריו חקירה העלתה כי 23andMe לא נקטה צעדים בסיסיים להגנת המידע של המשתמשים. בונטה טען עוד כי החברה הטעתה צרכנים בנוגע לחומרת דליפת המידע מ-2023. מדובר בטענות משפטיות שעדיין עומדות לבירור, אך הן מצטרפות ללחץ הרגולטורי והמשפטי הכבד שמלווה את הפרשה.

מה כוללת ההחלטה שניתנה השבוע

לפי החלטת השופט, הסכום שאושר יועבר תחילה ל-Kroll בתוך חמישה ימי עסקים ממועד הפסיקה. לאחר מכן Kroll תחלק את הכספים לנפגעים בהתאם למנגנון שנקבע. מינוי גוף כזה שכיח בהליכי חדלות פירעון מורכבים, במיוחד כאשר מדובר בקבוצה רחבה של נפגעים שיש להסדיר מולה חלוקת כספים מסודרת.

23andMe ממשיכה בינתיים לפעול ולמכור ערכות בדיקה גנטית באינטרנט, אף שהחברה נושאת עדיין את השלכות אחת הפריצות הרגישות שנרשמו בתחום. פסיקת הפיצוי מסמנת צעד משמעותי עבור הנפגעים, ומעמידה במרכז מחדש את השאלה כיצד חברות המחזיקות מידע ביולוגי ואישי מהסוג האינטימי ביותר נדרשות להגן עליו.