A principios de octubre, un delincuente afirmó que estaba vendiendo datos de cuentas del servicio de pruebas genéticas 23andMe, que incluían supuestamente datos de un millón de usuarios de ascendencia judía asquenazí y otros 100.000 usuarios de ascendencia china. A mediados de octubre, la cifra se amplió a otros cuatro millones de cuentas generales. Los datos incluyen el nombre para mostrar, el año de nacimiento, el sexo y algunos detalles sobre los resultados de la ascendencia genética, pero no datos genéticos. Si ya se ha accedido a tus datos, no puedes hacer nada, pero es un buen momento para reconsiderar cómo utilizas el servicio.

Lo que ocurrió

En una entrada de blog, 23andMe afirma que los delincuentes accedieron a las cuentas mediante "relleno de credenciales": la práctica de utilizar un conjunto de nombres de usuario y contraseñas filtrados de una filtración de datos anterior en otro sitio web con la esperanza de que la gente haya reutilizado las contraseñas.

Los detalles sobre las cuentas específicas afectadas son todavía escasos, pero sabemos algunas líneas generales. TechCrunch descubrió que los datos podrían haberse filtrado por primera vez en agosto, cuando un malhechor publicó en un foro de piratas informáticos que había accedido a 300 terabytes de datos robados de usuarios de 23andMe. En aquel momento no se hizo mucho eco de la supuesta filtración, pero a principios de octubre un malhechor publicó una muestra de datos en otro foro afirmando que el conjunto completo de datos contenía un millón de puntos de datos sobre personas con ascendencia judía asquenazí. En una declaración a The Washington Post, un representante de 23andMe señaló que esto "incluiría a personas con incluso un 1% de ascendencia judía." Poco después, otro post afirmaba que tenían datos de 100.000 usuarios chinos. Luego, el 18 de octubre, otro conjunto de datos apareció en el mismo foro que incluía cuatro millones de usuarios, con el cartel afirmando que incluía datos de "las personas más ricas que viven en los EE.UU. y Europa Occidental en esta lista."

23andMe sugiere que los malhechores recopilaron los datos de cuentas que utilizaban la función opcional "DNA Relatives", que permite a los usuarios de 23andMe compartir automáticamente datos con otras personas de la plataforma con las que pueden ser parientes.

Básicamente, parece que un atacante tomó combinaciones de nombre de usuario y contraseña de violaciones anteriores y probó esas combinaciones para ver si funcionaban en cuentas de 23andMe. Cuando los inicios de sesión funcionaban, extraían toda la información que podían, incluidos todos los datos compartidos sobre familiares si tanto los familiares como la cuenta original habían optado por la función DNA Relatives.

Eso es todo lo que sabemos por ahora. 23andMe dice que seguirá actualizando esta entrada de su blog con nueva información a medida que la tenga.

Por qué es importante

La información genética es una herramienta importante para detectar marcadores de enfermedades e investigar la historia familiar, pero no hay leyes federales que protejan claramente a los usuarios de sitios de pruebas genéticas en línea como 23andMe y Ancestry.com. La posibilidad de investigar la historia familiar y el riesgo de padecer enfermedades no debería conllevar el riesgo de que nuestros datos sean accesibles en filtraciones de datos, a través de cuentas rastreadas, por las fuerzas de seguridad, las aseguradoras o de otras formas que no podemos prever.

Aún no está claro si los datos se dirigen deliberadamente a la población judía asquenazí o si es una forma de mal gusto de llamar la atención sobre la venta de datos, pero el hecho de que los datos puedan utilizarse para dirigirse a grupos étnicos es un uso inquietante. 23andMe presenta "DNA Relatives" casi como una red social y una forma divertida de encontrar un primo segundo o dos. Hay algunos límites a la privacidad en el uso de esta función, como la opción de ocultar el nombre completo, pero con un árbol genealógico potencialmente completo disponible de otro modo, las opciones de privacidad de un individuo aquí pueden no ser tan protectoras.

23andme es, en general, uno de los mejores actores en este ámbito. Exigen una orden individualizada para que la policía acceda a sus datos, no permiten el acceso directo a todos los datos (a diferencia de GEDmatch y FTDNA) y se oponen a las órdenes demasiado amplias. Pero imponer a sus clientes la obligación de utilizar contraseñas únicas y de optar -en lugar de exigir- funciones de protección de cuentas como la autenticación de dos factores es una imagen desafortunada para una empresa que maneja datos confidenciales.

Reutilizar contraseñas es una práctica común, pero en lugar de culpar a sus clientes, 23andMe debería hacer más para reforzar sus protecciones por defecto. Características como la exigencia de autenticación de dos factores y los recordatorios frecuentes de comprobación de la privacidad, como los que ofrecen actualmente la mayoría de las redes sociales, podrían ayudar mucho a los usuarios a reconsiderar y comprender mejor su privacidad.

Cómo proteger mejor tu cuenta

Si tus datos están incluidos en este conjunto de datos robados, no hay mucho que puedas hacer para recuperarlos, ni hay forma de buscar en ellos para ver si tu información está incluida. No obstante, deberías acceder a tu cuenta de 23andMe para realizar algunos cambios en tu configuración de seguridad y privacidad para protegerte de cualquier problema en el futuro:

• 23andMe está exigiendo actualmente a todos los usuarios que cambien sus contraseñas. Cuando cree una nueva, asegúrese de utilizar una contraseña única. Un gestor de contraseñas puede facilitarte esta tarea. También un gestor de contraseñas puede indicarte si contraseñas usadas anteriormente se han encontrado en una filtración, pero en cualquier caso deberías crear una contraseña única para diferentes sitios.
• Habilite la autenticación de dos factores en su cuenta de 23andMe siguiendo las instrucciones aquí. Esto hace que, para iniciar sesión en tu cuenta, tengas que proporcionar no solo tu nombre de usuario y contraseña, sino también autenticación por dos factores, en este caso un código de una aplicación de autenticación de dos factores como Authy o Google Authenticator.
• Cambie su nombre para mostrar en DNA Familiares para que sean sólo sus iniciales, o considere desactivar esta función por completo si no la utiliza.

Puede que tomar estas medidas no te proteja de otras violaciones imprevistas a tu privacidad, pero al menos puede protegerla mejor del resto de problemas potenciales que sabemos que existen hoy en día.

Cómo descargar y borrar tus datos

Si esta situación te hace sentir incómodo con tus datos en la plataforma, o ya has obtenido de ella lo que querías, entonces puede que quieras eliminar tu cuenta. Pero antes de hacerlo, considere la posibilidad de descargar los datos para sus propios registros. Para descargar tus datos:

• Inicia sesión en su cuenta de 23andMe y haz clic en su nombre de usuario y, a continuación, en "Configuración".
• Ve hasta la parte inferior donde dice "Datos de 23andMe" y haz clic en "Ver".
• Aquí encontrarás la opción de descargar varias partes de tus datos de 23andMe. Las más importantes a tener en cuenta son:
• El "Resumen de informes" incluye detalles como los "Informes de bienestar", los "Informes de ascendencia" y los "Informes de rasgos".
• Los "Datos brutos de composición ancestral" son la interpretación que hace la empresa de tus datos genéticos brutos.
• Si estabas utilizando la función de parientes de ADN, los "Datos del árbol genealógico" incluyen toda la información sobre tus parientes. Basándonos en las descripciones de los datos que hemos visto, esto suena como los datos que los malos actores recogieron.
• También puedes descargar los "Datos brutos", que son la versión no interpretada de su ADN.

Hay otros tipos de datos que puedes descargar en esta página, aunque muchos de ellos no te serán útiles sin un software especial. Pero no pasa nada por descargarlo todo.

Una vez que tengas esos datos descargados, sigue la guía de la empresa para eliminar tu cuenta. El botón para iniciar el proceso se encuentra en la parte inferior de la misma página de la cuenta en la que descargaste los datos.

Nuestro ADN contiene toda nuestra composición genética. Puede revelar de dónde proceden nuestros antepasados, con quién estamos emparentados, nuestras características físicas y si somos propensos a contraer enfermedades determinadas genéticamente. Este incidente es un ejemplo de por qué esto es importante, y de cómo ciertas características que pueden parecer útiles en el momento pueden convertirse en armas de formas novedosas. Para más información sobre la privacidad genética, consulte nuestro resumen jurídico sobre privacidad de la información genética, y otros temas relacionados con la privacidad sanitaria en nuestro blog.