カリフォルニア州と23andMeの企業後継者は、2023年の遺伝子データ侵害をめぐり、600万ドルの和解案に達した。この23andMeカリフォルニア州600万ドル和解は、承認されれば、遺伝子検査会社が顧客の機密情報を保護できなかったという州の主張を解決することになる。また、23andMeの破産関連手続きに対する州の異議も解決する、とLaw360の和解概要は伝えている。我々が入手できるのは報告の限られた部分のみであるため、条件の詳細の一部は依然として不明である。

600万ドルの和解が解決するもの

報告によれば、この合意はカリフォルニア州と23andMeを承継した企業との間のものである。まだ確定していない。和解は発効前に承認されなければならず、情報源は承認がいつになるかを示していない。

この取引は二つの事項を解決する。第一に、2023年の侵害において同社が顧客の機密情報を適切に保護しなかったという州の主張に対処する。第二に、23andMeの手続きに対する州の異議に対処するが、情報源の概要はそれを完全に説明する前に途切れている。我々はその第二の項目の詳細を推測することはしない。

この和解は、州による同社への法的措置に続くものである。元の訴状の背景については、700万人ユーザーの遺伝子データ侵害をめぐるカリフォルニア州の23andMe訴訟に関する以前の報道を参照されたい。そこでは、同社がChrome Holding Coという名称で運営されていたことが説明されている。

2023年の23andMe侵害が露呈したもの

以前の報道では、2023年の事件を、ユーザーの遺伝子データおよび祖先データを露呈した侵害として説明し、訴訟では約700万人の影響を受けたユーザーが挙げられていた。この事件を際立たせているのは、関与したデータである。漏洩したパスワードは変更できる。人の遺伝情報は変更できない。

遺伝子データは、サービスに登録したことのない親族に関する情報も明らかにしうる。これが規制当局がこうした事件を深刻に扱う理由の一つであり、単一の侵害が典型的な認証情報漏洩よりも長く続く影響を持ちうる理由でもある。

あなたにとっての意味

23andMeの顧客であったなら、この和解は、侵害をめぐる法的プロセスには数年かかりうること、そして州に支払われる金銭それ自体があなたのデータの露呈を取り消すものではないことを思い起こさせる。情報源の記事は、和解に顧客への直接支払いが含まれるかどうかを述べていないため、補償を受け取れると仮定してはならない。

サービスを一度も使ったことがない場合でも、教訓は当てはまる。多くの消費者企業は極めて個人的なデータを保持しており、その所有権は売却や破産によって変わりうる。ある企業と共有したデータが、別の企業の管理下に置かれることになりうる。

影響を受けた顧客が今すべきこと

  • ログインしてアカウントを確認する。 遺伝子検査結果、家族のマッチング、共有プロファイルなど、どのようなデータが保存されているかを確認する。
  • パスワードを変更する。 他のどこでも使っていない、独自の長いパスワードを使用し、理想的にはパスワードマネージャーで生成する。
  • 多要素認証（MFA）を有効にする。 認証アプリやハードウェアキーのほうがSMSコードより強固である。
  • データの削除を検討する。 サービスがアカウント削除やサンプル破棄を提供している場合は、それらの選択肢を確認し、公式の手順に従う。
  • フィッシングに注意する。 侵害に関係する人物は、その事件に言及したメールやメッセージで狙われることがよくある。予期しないメッセージ内のリンクをクリックしないこと。

今後、遺伝子データとアカウントデータを保護するために

企業が保存し後に失うデータを保護できるツールは存在しない。例えばVPNは接続を暗号化するが、企業のサーバー上に保持された情報を安全にするものではない。最も効果的な手段は、そもそも何を渡すかを限定することである。

生体認証や健康関連のデータを収集するサービスを利用する前に、そのプライバシーポリシーを読み、企業が売却されたり破産したりした場合にあなたのデータがどうなるかを確認し、明確な削除オプションを探すこと。機密情報を保持するすべてのアカウントで独自のパスワードとMFAを使用し、一つのログインが侵害されても他への扉が開かないようにすること。

この種の侵害は孤立したものではない。300万人の免許保有者に影響したテキサス州公園野生生物局のデータ侵害に関する我々の報道は、あらゆる種類の組織が保持する個人記録がどのように露呈しうるかを示しており、だからこそ共有するものを最小限にすることが重要なのである。

主な要点

23andMeカリフォルニア州600万ドル和解は依然として提案であり、我々が確認した情報源ではその完全な条件は入手できない。明らかなのは、遺伝子データは永続的であるため、その保護には強力なパスワード以上のものが必要だということである。今日、あなたの遺伝子データのアカウントを確認し、MFAを有効にし、可能な場合は保存データを削除し、完全な背景については侵害をめぐるカリフォルニア州の訴訟に関する以前の報道をお読みいただきたい。