Već dugo se upozorava da dijeljenje DNA-a s tvrtkama za testiranje poput 23andMe i Ancestry čini potrošače ranjivima zbog izloženosti osjetljivih genetskih informacija koje otkrivaju zdravstvene rizike pojedinaca i onih koji su s njima povezani.

U slučaju probijanja sigurnosti kod 23andMe, haker je izravno pristupio oko 14.000 od 14 milijuna korisnika, dakle 0,1 posto. Međutim na 23andMe, mnogi korisnici biraju dijeliti informacije s ljudima s kojima su genetski povezani - što može uključivati daljnje rođake koje nikada nisu upoznali, osim direktnih članova obitelji - kako bi saznali više o vlastitom genetskom materijalu i izgradili svoje obiteljsko stablo.

Dakle, kroz tih 14.000 računa, haker je mogao pristupiti informacijama o milijunima drugih korisnika. Mnogo manji broj korisnika imao je pristup zdravstvenim podacima, piše Fortune.

Korisnici mogu odabrati hoće li dijeliti različite vrste podataka, uključujući ime, lokaciju, podrijetlo i informacije o zdravlju poput genetske predispozicije za stanja poput astme, anksioznosti, visokog tlaka.

Izloženost takvim informacijama može imati zabrinjavajuće posljedice. U SAD-u, zdravstvene informacije obično štiti tzv. Zakon o prenosivosti i odgovornosti za zdravstveno osiguranje, poznat kao HIPAA. Međutim, takva zaštita se primjenjuje samo na pružatelje zdravstvene skrbi.

Zakon o genetskim informacijama iz 2008. godine (GINA) štiti od diskriminacije u zapošljavanju i zdravstvenom osiguranju ako informacije dobivene iz DNA testa dospiju u javnost. Cilj mu je zaštititi pojedince od odbijanja zapošljavanja ili osiguranja ako, na primjer, DNA test otkrije da su u opasnosti od razvoja teškog stanja. No, zakon ima pukotine; na primjer, osiguravatelji mogu odbiti ljude na temelju njihovih genetskih informacija.

Do sada su se dogodili i drugi visokoprofilni hakerski napadi na tvrtke za testiranje DNA. Međutim, 23andMe je prvi takav sigurnosni incident u kojem je tvrtka javno objavila da su zdravstvene informacije njezinih korisnika ugrožene.

Haker je, čini se, pristupio korisničkim računima prijavljujući se na pojedinačne račune 23andMe pomoću lozinki koje su bile reciklirane i korištene za druge web stranice koje su prethodno bile hakirane. Tvrtka je izjavila da nema dokaza o probijanju unutar vlastitih sustava.

Nakon hakerskog napada, tvrtka je najavila da će zaštititi korisnike primjenom dvostruke autentifikacije kako bi se spriječili napadi. Izjavila je da očekuje troškove od 1 do 2 milijuna dolara zbog ovog sigurnosnog incidenta.