Tổng chưởng lý California Rob Bonta ngày 19/10 cho biết tiểu bang đã đạt thỏa thuận dàn xếp trị giá 6 triệu USD với Chrome Holding Co., công ty trước đây mang tên 23andMe.
Thỏa thuận đã được nộp lên Tòa án Phá sản Mỹ tại khu vực Đông Missouri và đang chờ phê chuẩn. Thỏa thuận giải quyết các cáo buộc công ty không bảo vệ thông tin cá nhân và dữ liệu di truyền của khách hàng trong vụ rò rỉ năm 2023.
Thỏa thuận cũng khép lại kháng cáo của ông Bonta sau khi các tòa bác phản đối của ông đối với việc bán thông tin di truyền và mẫu sinh học của người dân California mà không có sự đồng ý chủ động của họ.
Người tiêu dùng bị ảnh hưởng vẫn có quyền yêu cầu xóa thông tin và tiêu hủy mẫu sinh học của mình.
Vụ rò rỉ ảnh hưởng gần 7 triệu khách hàng trên toàn quốc, trong đó có hơn 855.000 người tại California.
Bán tài sản trong quá trình phá sản và những yêu cầu trước đó
Công ty nộp đơn xin bảo hộ phá sản tháng 3/2025 và bán một số tài sản, gồm dữ liệu di truyền và mẫu sinh học, cho TTAM Research Institute, tổ chức phi lợi nhuận do người đồng sáng lập, cựu giám đốc điều hành 23andMe thành lập.
Sở Tư pháp California phản đối, cho rằng việc chuyển giao vi phạm Đạo luật Bảo mật Thông tin Di truyền, vốn yêu cầu có sự đồng ý riêng biệt và rõ ràng trước khi bán hoặc chuyển giao dữ liệu di truyền và mẫu sinh học.
Cả Tòa án Phá sản lẫn Tòa án Liên bang cấp quận đều bác phản đối này.
Trong một vụ việc riêng, Sở Tư pháp kiện Chrome Holding Co. tại tòa án tiểu bang California về các biện pháp bảo mật dữ liệu không hợp lý dẫn đến vụ rò rỉ, cùng các thông tin bị cáo buộc là gây hiểu lầm.
“Trước tình trạng khó khăn tài chính được đưa tin của 23andMe, tôi nhắc người dân California cân nhắc thực hiện quyền của mình và yêu cầu 23andMe xóa dữ liệu, tiêu hủy mọi mẫu vật liệu di truyền mà công ty đang giữ”, ông Bonta nói vào tháng 3/2025, trước khi công ty nộp đơn xin bảo hộ phá sản.
Vụ rò rỉ trước đây và phản ứng
Cuộc tấn công năm 2023 sử dụng kỹ thuật “credential stuffing”: kẻ tấn công dùng tự động hóa để thử các cặp tên người dùng và mật khẩu đã bị đánh cắp từ những vụ rò rỉ trước đó, hoạt động lừa đảo hoặc dữ liệu trên dark web vào các trang web khác. Cuộc tấn công làm lộ thông tin có độ nhạy cảm cao.
“Kẻ tấn công đã sử dụng các tài khoản bị xâm nhập bằng kỹ thuật credential stuffing để truy cập thông tin trong một số lượng lớn hồ sơ DNA Relatives (khoảng 5,5 triệu) và hồ sơ của tính năng Family Tree (khoảng 1,4 triệu); mỗi hồ sơ đều được kết nối với các tài khoản bị xâm nhập”, công ty cho biết trong thông báo vào thời điểm đó.
Một thỏa thuận dàn xếp vụ kiện tập thể được đề xuất, nộp vào tháng 9/2024, đưa ra khoản chi trả 30 triệu USD cho khoảng 6,4 triệu người dùng tại Mỹ.
“23andMe phủ nhận mọi hành vi sai trái”, công ty cho biết, đồng thời nói việc tiếp tục kiện tụng sẽ “kéo dài, gây gánh nặng và tốn kém”.
Năm 2025, người phát ngôn công ty nói với The Epoch Times qua email rằng “đến cuối năm 2024, 23andMe đã thực hiện nhiều bước nhằm tăng cường bảo mật để bảo vệ tài khoản và thông tin của từng cá nhân”.
Canada và Anh sau đó phạt công ty tổng cộng hơn 4 triệu USD sau một cuộc điều tra chung xác định các biện pháp bảo vệ không đầy đủ trước cuộc tấn công credential stuffing kéo dài từ tháng 4 đến tháng 9/2023.
Ủy viên Thông tin Anh John Edwards lưu ý rằng “khác với tên người dùng, mật khẩu và địa chỉ email, bạn không thể thay đổi cấu tạo di truyền của mình khi xảy ra một vụ rò rỉ dữ liệu”.
Nguồn: The Epoch Times. Đối chiếu: Bộ Tư pháp California, thông báo ngày 19/10/2026.