Kalifornien och 23andMes företagsmässiga efterträdare har nått en föreslagen uppgörelse på 6 miljoner dollar gällande dataintrånget av genetiska data 2023. Uppgörelsen mellan Kalifornien och 23andMe på 6 miljoner dollar skulle, om den godkänns, lösa statens påståenden om att det genetiska testföretaget misslyckades med att skydda kundernas känsliga information. Den skulle också lösa statens invändning mot 23andMes konkursrelaterade förfaranden, enligt Law360s sammanfattning av avtalet. Endast en begränsad del av rapporten är tillgänglig för oss, så vissa detaljer i villkoren är fortfarande oklara.

Vad uppgörelsen på 6 miljoner dollar löser

Enligt rapporten är avtalet mellan staten Kalifornien och företaget som efterträdde 23andMe. Det är inte slutgiltigt. Uppgörelsen måste godkännas innan den träder i kraft, och källan anger inte när godkännandet kan komma.

Avtalet skulle lösa två saker. För det första behandlar det statens påståenden om att företaget inte tillräckligt skyddade kundernas känsliga information i intrånget 2023. För det andra behandlar det statens invändning mot 23andMes förfaranden, vilket källsammanfattningen avbryter innan den beskrivs i sin helhet. Vi kommer inte att gissa oss till detaljerna kring den andra punkten.

Uppgörelsen följer statens rättsliga åtgärd mot företaget. För bakgrund om det ursprungliga klagomålet, se vår tidigare rapportering om Kaliforniens stämning mot 23andMe gällande dataintrånget som drabbade 7 miljoner användare, som beskriver företagets verksamhet under namnet Chrome Holding Co.

Vad intrånget hos 23andMe 2023 exponerade

Vår tidigare rapportering beskrev incidenten 2023 som ett intrång som exponerade användarnas genetiska data och härstamningsdata, där stämningen hänvisade till ungefär 7 miljoner drabbade användare. Det är uppgifterna som gör detta fall anmärkningsvärt. Ett läckt lösenord kan bytas. En persons genetiska information kan inte.

Genetiska data kan också avslöja information om släktingar som aldrig registrerade sig för tjänsten. Det är en anledning till att tillsynsmyndigheter behandlar dessa fall seriöst, och till att ett enda intrång kan få effekter som varar längre än en typisk läcka av inloggningsuppgifter.

Vad detta innebär för dig

Om du var kund hos 23andMe är denna uppgörelse en påminnelse om att den rättsliga processen kring ett intrång kan ta år, och att pengar som betalas till en stat inte i sig själva undanröjer exponeringen av dina data. Källartikeln anger inte om uppgörelsen inkluderar direkta betalningar till kunder, så anta inte att du kommer att få ersättning.

Om du aldrig använde tjänsten gäller lärdomen fortfarande. Många konsumentföretag innehar mycket personliga data, och deras ägande kan förändras genom försäljning eller konkurs. Data som du delade med ett företag kan hamna under kontroll av ett annat.

Vad drabbade kunder bör göra nu

  • Logga in och granska ditt konto. Kontrollera vilka data som lagras, inklusive genetiska resultat, släktträffar och eventuella delade profiler.
  • Byt ditt lösenord. Använd ett unikt, långt lösenord som du inte använder någon annanstans, helst genererat av en lösenordshanterare.
  • Aktivera flerfaktorsautentisering (MFA). En autentiseringsapp eller hårdvarunyckel är starkare än SMS-koder.
  • Överväg att radera dina data. Om tjänsten erbjuder radering av konto och förstöring av prov, granska dessa alternativ och följ de officiella stegen.
  • Var uppmärksam på nätfiske. Personer kopplade till ett intrång utsätts ofta för e-postmeddelanden eller meddelanden som hänvisar till incidenten. Klicka inte på länkar i oväntade meddelanden.

Att skydda genetiska data och kontodata framöver

Inget verktyg kan skydda data som ett företag lagrar och senare förlorar. En VPN krypterar till exempel din anslutning, men den skyddar inte information som finns på ett företags servrar. Det mest effektiva steget är att begränsa vad du lämnar ut från början.

Innan du använder någon tjänst som samlar in biometriska data eller hälsorelaterade data, läs dess integritetspolicy, kontrollera vad som händer med dina data om företaget säljs eller går i konkurs, och leta efter tydliga raderingsalternativ. Använd unika lösenord och MFA på varje konto som innehåller känslig information, så att en komprometterad inloggning inte öppnar dörren till andra.

Intrång av detta slag är inte isolerade. Vår rapportering om dataintrånget hos Texas Parks and Wildlife som drabbade 3 miljoner licensinnehavare visar hur personliga register som innehas av organisationer av alla slag kan exponeras, vilket är anledningen till att det är viktigt att minimera vad du delar.

Viktiga slutsatser

Uppgörelsen mellan Kalifornien och 23andMe på 6 miljoner dollar är fortfarande ett förslag, och dess fullständiga villkor är inte tillgängliga i den källa vi granskade. Vad som är klart är att genetiska data är permanenta, så att skydda dem kräver mer än ett starkt lösenord. Granska dina konton för genetiska data idag, aktivera MFA, radera lagrade data där det är möjligt, och läs vår tidigare rapportering om Kaliforniens stämning gällande intrånget för fullständig bakgrund.