“Me asusté muchísimo”, dice el demandante principal en una demanda colectiva propuesta por violación de datos en 23andMe

Una demanda colectiva propuesta contra 23andMe podría incluir a más personas en Canadá de lo previsto originalmente, dicen los expertos, después de que la compañía de pruebas genéticas dijera que una violación de datos afectó a millones de clientes más de lo que se creía inicialmente.

Un comunicado de la compañía el martes dijo que los piratas informáticos obtuvieron acceso a aproximadamente 6,9 ​​millones de perfiles en el sitio, casi la mitad de su base de clientes. Esos perfiles contienen datos personales delicados que van desde el año de nacimiento, la ubicación geográfica, la información de salud y el porcentaje de ADN que los usuarios comparten con sus familiares.

Algunos clientes se enteraron de la violación a través de un correo electrónico a principios de octubre, cuando la compañía inicialmente dijo que el ataque afectaba a una fracción de sus usuarios. Uno de esos clientes incluía a un hombre de Columbia Británica, que ahora lidera una propuesta de demanda colectiva que alega que 23andMe no hizo lo suficiente para proteger los datos de los clientes. Su identidad está protegida por orden judicial.

“La información que tienen es muy íntima y, sinceramente, me asustó muchísimo que la perdieran”, dijo el hombre.

Los expertos han advertido que las filtraciones de datos se han vuelto más comunes en una época en la que la información se trata como moneda de cambio, particularmente cuando se trata de datos muy sensibles y valiosos, como los detalles genéticos. Algunos dicen que el hackeo a 23andMe sirve como una advertencia para aquellos que están considerando entregar sus datos a empresas de pruebas.

“Yo no lo haría y si alguien me preguntara, le diría: ‘no lo hagas'”, dijo. Teresa Scassa, catedrática de investigación de Canadá y derecho y política de la información en la Universidad de Ottawa.

‘Les estás dando todo’

Al igual que otras empresas de pruebas genéticas, 23andMe utiliza muestras de saliva para generar informes sobre la ascendencia de un cliente, así como sobre posibles predisposiciones a ciertas condiciones de salud.

Una vez que se completan los resultados, la empresa con sede en California muestra a los usuarios coincidencias genéticas que también han realizado pruebas con la empresa, desde padres hasta hermanos y primos lejanos.

El demandante en Columbia Británica utilizó el servicio por primera vez alrededor de 2018. Intrigado por las preguntas sobre ascendencia planteadas en sus resultados, alentó a “tal vez una docena más o menos” de otras personas en su vida a hacer lo mismo: incorporar a su esposa y entregar kits a la familia. miembros en Navidad.

“Hay arrepentimiento”, dijo en una entrevista el martes.

“Les estás dando todo. Básicamente, les estás dando el código bruto de ti mismo, por así decirlo: tú en tu esencia más fina”.

23andMe no ha respondido a la demanda en los tribunales. Un comunicado no dijo cuántos de los usuarios afectados viven en Canadá.

Este otoño, los piratas informáticos inicialmente entraron en alrededor de 14.000 cuentas (o el 0,1 por ciento de la base de clientes de la empresa) mediante el uso de contraseñas antiguas y comprometidas que los clientes habían reciclado de otras cuentas en otros sitios, dijo la compañía en su declaración a la Comisión de Bolsa y Valores de EE.UU. los lunes.

Luego, los piratas informáticos utilizaron su acceso a esas primeras cuentas para acceder a aproximadamente 5,5 millones de perfiles de familiares de ADN, a través de los cuales los usuarios pueden proporcionar cierta información a otros clientes que podrían tener una coincidencia de ADN cercana.

Esos perfiles incluían un nombre para mostrar, detalles de inicio de sesión recientes, porcentaje de ADN compartido con las coincidencias de sus familiares y relación prevista con esa persona. También podrían haber incluido información como año de nacimiento, árbol genealógico, ubicación y fotos que los usuarios agregaron a sus cuentas.

Más allá de eso, los piratas informáticos también accedieron a la información del perfil del árbol genealógico de aproximadamente 1,4 millones de clientes, cuentas que también incluyen nombres para mostrar y etiquetas de relaciones.

“Alegamos y creemos que los clientes no fueron tratados adecuadamente aquí. [and] que han sido perjudicados”, dijo el abogado Sage Nematollahi, que está a cargo de la demanda colectiva propuesta con KND Complex Litigation en Toronto.

Pocos recursos financieros de los clientes, dice un experto

La compañía dijo que hasta la fecha no ha recibido ningún informe sobre el uso inapropiado de datos. El comunicado dice que a los clientes existentes se les pedirá que restablezcan sus contraseñas y que todos los clientes deberán configurar la verificación en dos pasos en el futuro.

En cuanto a los próximos pasos para los clientes, Scassa dijo que los usuarios en Canadá pueden presentar una queja ante su comisionado de privacidad local o considerar una demanda colectiva, como la que ya se presentó en Columbia Británica, aunque advirtió que ambas vías generalmente están más orientadas a incentivar a las empresas a obtener mejores resultados que a sus clientes que pagan.

“Este tipo de cosas no suelen suponer mucho dinero. Todos estos recursos tienen como objetivo, con suerte, garantizar que no vuelva a suceder”.

Scassa dijo que la mejor opción sería mantener la privacidad de sus datos ya que “los datos genéticos pueden decirle mucho”.

“Estamos en un entorno donde los datos están impulsando tecnologías que son increíblemente poderosas e impactantes”, dijo, señalando que entregar datos confidenciales y detallados sobre uno mismo a otra persona cuando no es necesario “es arriesgado, francamente”. ”

El demandante de BC dice que quiere que la empresa expie cualquier negligencia que pueda haber contribuido al incumplimiento. La demanda colectiva, que está abierta a clientes que viven en Canadá, reclama daños y perjuicios por violaciones de las leyes de privacidad y consumidores de BC, incumplimiento de contrato y negligencia.

Ninguna de las acusaciones contenidas en el escrito de demanda de la demanda ha sido probada ante los tribunales. Las demandas colectivas deben ser certificadas por un juez antes de que puedan proceder.

“Esta empresa debería ser considerada responsable y cumplir con un estándar y un deber para con los clientes cuando tiene la información genética más pertinente y valiosa que tengo”, dijo el hombre.

“Quiero decir, todavía recibo correos electrónicos de que familiares se han unido [the site]”, dijo. “Continúan como de costumbre”.