California og 23andMes selskapsmessige etterfølger har nådd et foreslått forlik på 6 millioner dollar etter datainnbruddet med genetiske data i 2023. Forliket mellom 23andMe og California på 6 millioner dollar vil, hvis det godkjennes, løse statens påstander om at selskapet som driver gentesting ikke klarte å beskytte kundenes sensitive opplysninger. Det vil også løse statens innvending mot 23andMes konkursrelaterte prosesser, ifølge Law360s sammendrag av avtalen. Bare en begrenset del av rapporten er tilgjengelig for oss, så enkelte detaljer i vilkårene er fortsatt uklare.

Hva forliket på 6 millioner dollar løser

Ifølge rapporten er avtalen mellom staten California og selskapet som overtok etter 23andMe. Den er ikke endelig. Forliket må godkjennes før det trer i kraft, og kilden sier ikke når godkjenningen kan komme.

Avtalen vil gjøre opp to ting. For det første behandler den statens krav om at selskapet ikke beskyttet kundenes sensitive opplysninger tilstrekkelig i innbruddet i 2023. For det andre behandler den statens innvending mot 23andMes prosesser, som kildesammendraget kutter før det beskrives fullt ut. Vi vil ikke gjette på detaljene i det andre punktet.

Forliket følger statens rettslige skritt mot selskapet. For bakgrunn om det opprinnelige søksmålet, se vår tidligere dekning av Californias søksmål mot 23andMe over datainnbruddet som rammet 7 millioner brukere, som beskriver selskapets drift under navnet Chrome Holding Co.

Hva 23andMe-innbruddet i 2023 eksponerte

Vår tidligere reportasje beskrev hendelsen i 2023 som et innbrudd som eksponerte brukernes genetiske data og slektsdata, og søksmålet viste til rundt 7 millioner berørte brukere. Det er dataene det gjelder som gjør denne saken spesiell. Et lekket passord kan endres. En persons genetiske informasjon kan ikke.

Genetiske data kan også avsløre informasjon om slektninger som aldri meldte seg på tjenesten. Det er én grunn til at tilsynsmyndigheter tar slike saker alvorlig, og til at et enkelt innbrudd kan ha virkninger som varer lenger enn en typisk lekkasje av påloggingsopplysninger.

Hva dette betyr for deg

Hvis du var 23andMe-kunde, er dette forliket en påminnelse om at den rettslige prosessen rundt et innbrudd kan ta år, og at penger som betales til en stat, i seg selv ikke opphever eksponeringen av dataene dine. Kildeartikkelen sier ikke om forliket omfatter direkte utbetalinger til kunder, så ikke anta at du vil motta kompensasjon.

Hvis du aldri brukte tjenesten, gjelder lærdommen fortsatt. Mange forbrukerselskaper sitter på svært personlige data, og eierskapet deres kan endres gjennom salg eller konkurs. Data du delte med ett selskap, kan ende opp under kontrollen til et annet.

Hva berørte kunder bør gjøre nå

  • Logg inn og gjennomgå kontoen din. Sjekk hvilke data som er lagret, inkludert genetiske resultater, familietreff og eventuelle delte profiler.
  • Endre passordet ditt. Bruk et unikt, langt passord som du ikke bruker noe annet sted, helst generert av en passordbehandler.
  • Slå på flerfaktorautentisering (MFA). En autentiseringsapp eller en fysisk nøkkel er sterkere enn SMS-koder.
  • Vurder å slette dataene dine. Hvis tjenesten tilbyr sletting av konto og destruksjon av prøver, gjennomgå disse alternativene og følg de offisielle trinnene.
  • Vær på vakt mot phishing. Personer knyttet til et innbrudd blir ofte mål for e-poster eller meldinger som viser til hendelsen. Ikke klikk på lenker i uventede meldinger.

Beskyttelse av genetiske data og kontodata fremover

Ingen verktøy kan beskytte data som et selskap lagrer og senere mister. En VPN krypterer for eksempel tilkoblingen din, men sikrer ikke informasjon som ligger på et selskaps servere. Det mest effektive tiltaket er å begrense hva du overleverer i utgangspunktet.

Før du bruker en tjeneste som samler inn biometriske data eller helserelaterte data, les personvernerklæringen, sjekk hva som skjer med dataene dine hvis selskapet blir solgt eller går konkurs, og se etter tydelige slettealternativer. Bruk unike passord og MFA på alle kontoer som inneholder sensitive opplysninger, slik at én kompromittert pålogging ikke åpner døren til andre.

Innbrudd av denne typen er ikke isolerte. Vår dekning av datainnbruddet hos Texas Parks and Wildlife som rammet 3 millioner lisensinnehavere viser hvordan personopplysninger som oppbevares av organisasjoner av alle slag, kan eksponeres, og det er derfor det er viktig å minimere hva du deler.

Viktige punkter

Forliket mellom 23andMe og California på 6 millioner dollar er fortsatt et forslag, og de fullstendige vilkårene er ikke tilgjengelige i kilden vi har gjennomgått. Det som er klart, er at genetiske data er permanente, så beskyttelse av dem krever mer enn et sterkt passord. Gå gjennom kontoene dine med genetiske data i dag, aktiver MFA, slett lagrede data der det er mulig, og les vår tidligere dekning av Californias søksmål om innbruddet for full bakgrunn.