23andMe aceita acordo de US$ 18 milhões após falha de segurança expor dados genéticos de 6,9 milhões de pessoas

A empresa de testes genéticos 23andMe concordou em pagar US$ 18 milhões para encerrar uma investigação conduzida por uma coalizão formada pelos procuradores-gerais de 42 estados norte-americanos. O acordo é consequência das falhas de segurança que permitiram um dos maiores vazamentos de dados genéticos dos últimos anos, comprometendo informações de aproximadamente 6,9 milhões de clientes, incluindo dados sobre ancestralidade genética.

Além da indenização financeira, o acordo impõe uma série de novas obrigações ao 23andMe Research Institute, organização sem fins lucrativos criada em maio de 2025 pela cofundadora e ex-CEO da empresa, Anne Wojcicki. O instituto assumiu os ativos da 23andMe, incluindo seu banco de dados genéticos, após a reestruturação decorrente do processo de falência da companhia.

Entre as exigências estabelecidas pelos procuradores estão a realização periódica de avaliações de risco em cibersegurança, a criação de um conselho independente responsável pela supervisão da segurança da informação e a garantia permanente de que os clientes possam solicitar a destruição de suas amostras biológicas e a exclusão definitiva de seus dados pessoais.

O incidente teve origem em outubro de 2023, quando hackers conseguiram acessar contas de usuários utilizando credenciais previamente comprometidas em outros vazamentos de dados. A empresa somente identificou a invasão meses depois, quando parte das informações roubadas já circulava em fóruns clandestinos e marketplaces da dark web.

Segundo a procuradora-geral de Nova York, Letitia James, a resposta inicial da empresa agravou a situação. De acordo com o comunicado oficial, a 23andMe inicialmente negou que tivesse ocorrido uma violação de segurança e, após confirmar o incidente, atribuiu parte da responsabilidade aos próprios clientes, alegando configurações inadequadas das contas e reutilização de senhas.

A investigação conduzida pelos 42 estados identificou diversas deficiências nos controles de segurança da companhia.

Segundo as autoridades, a 23andMe não possuía mecanismos eficazes para impedir ataques baseados em credenciais roubadas (credential stuffing), mantinha medidas insuficientes de prevenção contra intrusões, não realizava registros (logs) nem monitoramento adequado de eventos de segurança e deixou de corrigir vulnerabilidades já conhecidas.

Os investigadores também apontaram que a empresa não analisava padrões incomuns de autenticação nem submetia novos recursos da plataforma a testes de segurança antes de sua implementação, aumentando o risco de exploração por invasores.

O caso tornou-se um dos exemplos mais emblemáticos dos riscos envolvendo empresas que armazenam informações genéticas. Diferentemente de senhas ou cartões de crédito, dados genéticos são permanentes e não podem ser alterados caso sejam comprometidos, tornando incidentes desse tipo especialmente sensíveis sob a perspectiva da privacidade e da proteção de dados.

Em março de 2025, a 23andMe entrou com pedido de proteção contra falência nos Estados Unidos. Poucos meses depois, em junho, um tribunal de falências do Missouri aprovou outro acordo relacionado ao incidente, destinando US$ 47 milhões para indenizar parte das vítimas do vazamento.

Na sequência, em julho de 2025, o então chamado TTAM Research Institute posteriormente renomeado para 23andMe Research Institute adquiriu os ativos da empresa por US$ 305 milhões. A aquisição incluiu os dados genéticos dos clientes que não haviam solicitado a destruição definitiva de suas informações.

O instituto afirmou que continuará seguindo a política de privacidade originalmente adotada pela 23andMe, que proíbe o compartilhamento de dados com empregadores, seguradoras, bancos públicos de informações e autoridades policiais, salvo mediante ordem judicial, mandado de busca ou intimação legal.

Ao mesmo tempo, a organização manterá a prática já utilizada pela empresa de compartilhar e comercializar conjuntos de dados anonimizados para pesquisas biomédicas, prática que continua gerando debates sobre privacidade, consentimento e governança no uso de informações genéticas em larga escala.