加州与23andMe的公司继任者已就2023年基因数据泄露事件达成一项拟议的600万美元和解协议。这项23andMe加州600万美元和解协议若获批准，将解决该州关于这家基因检测公司未能保护客户敏感信息的指控。据Law360对该协议的摘要报道，该协议还将解决该州对23andMe破产相关程序的异议。我们仅能获取该报道的有限部分，因此部分条款细节仍不明确。

600万美元和解协议解决了什么

据报道，该协议由加利福尼亚州与接手23andMe的公司达成。该协议尚未最终确定。和解协议须经批准方能生效，且信息来源未说明批准可能何时到来。

该协议将解决两件事。第一，它针对的是该州关于公司在2023年泄露事件中未充分保护客户敏感信息的主张。第二，它针对的是该州对23andMe相关程序的异议，而来源摘要在此项描述完整之前即已截断。我们不会猜测第二项的具体细节。

该和解协议是在该州对该公司采取法律行动之后达成的。关于原始诉讼的背景，请参阅我们此前的报道加州就700万用户基因数据泄露起诉23andMe，该报道描述了该公司以Chrome Holding Co.名义运营的情况。

2023年23andMe泄露事件暴露了什么

我们此前的报道将2023年事件描述为一起暴露用户基因和祖先数据的泄露事件，诉讼中提及约700万受影响用户。所涉及的数据正是本案引人注目的原因。泄露的密码可以更改，但一个人的基因信息却无法更改。

基因数据还可能揭示从未注册该服务的亲属的信息。这也是监管机构严肃对待此类案件的原因之一，也是单次泄露可能产生远超典型凭证泄露之久远影响的原因。

这对你意味着什么

如果你曾是23andMe的客户，这项和解协议提醒你，围绕泄露事件的法律程序可能耗时数年，而支付给州政府的款项本身并不能消除你数据被暴露的事实。来源文章未说明和解协议是否包含对客户的直接赔偿，因此不要假定你会获得补偿。

如果你从未使用过该服务，这一教训仍然适用。许多消费类公司持有高度个人化的数据，而其所有权可能通过出售或破产发生变更。你与一家公司分享的数据最终可能落入另一家公司的控制之下。

受影响客户现在应该做什么

  • 登录并检查你的账户。 查看存储了哪些数据，包括基因结果、家族匹配以及任何共享档案。
  • 更改你的密码。 使用一个你在其他地方从未使用过的唯一且长的密码，最好由密码管理器生成。
  • 开启多因素认证（MFA）。 身份验证器应用或硬件密钥比短信验证码更安全。
  • 考虑删除你的数据。 如果该服务提供账户删除和样本销毁选项，请查看这些选项并按照官方步骤操作。
  • 警惕网络钓鱼。 与泄露事件相关的人员常常成为提及该事件邮件或消息的攻击目标。不要点击意外消息中的链接。

今后如何保护基因和账户数据

没有任何工具能保护公司存储而后丢失的数据。例如，VPN可以加密你的连接，但无法保护公司服务器上保存的信息。最有效的措施是从一开始就限制你交出的信息。

在使用任何收集生物特征或健康相关数据的服务之前，请阅读其隐私政策，了解如果公司被出售或破产你的数据会怎样，并寻找明确的删除选项。在每个持有敏感信息的账户上使用唯一密码和MFA，这样一次登录被攻破就不会为其他账户打开大门。

此类泄露事件并非孤立现象。我们关于得克萨斯州公园与野生动物部门数据泄露影响300万持证人的报道表明，各类组织持有的个人记录都可能被暴露，这也是尽量减少分享内容之所以重要的原因。

关键要点

23andMe加州600万美元和解协议仍是一项提案，我们查阅的来源中并未提供其完整条款。明确的是，基因数据是永久性的，因此保护它需要的不仅仅是一个强密码。今天就检查你的基因数据账户，启用MFA，尽可能删除存储的数据，并阅读我们此前关于加州就泄露事件提起诉讼的报道以了解完整背景。