23andMe, según se informa, está echando la culpa de nuevo a sus clientes

Artículo original ↗ Discusión en Hacker News ↗

Una brecha de datos importante en la empresa de pruebas de ADN 23andMe, en la que atacantes usaron contraseñas previamente filtradas de otros sitios para acceder a unas 14.000 cuentas y luego se apoyaron en una función de “DNA relatives” para exponer datos de alrededor de 7 millones de usuarios, ha suscitado fuertes preguntas sobre responsabilidad y seguridad. Los comentaristas debaten cuánto culpa recae en las personas que reutilizan contraseñas frente al fallo de 23andMe al no imponer protecciones más fuertes como autenticación de dos factores obligatoria, limitación de tasa y comprobaciones proactivas contra credenciales comprometidas conocidas. Muchos también sostienen que los datos genéticos son singularmente sensibles, afectan a familiares que nunca dieron su consentimiento y deberían protegerse con salvaguardas más parecidas a las que se usan en la banca o en información sanitaria altamente regulada.

Mecánica y alcance de la brecha

  • Los atacantes usaron credenciales previamente comprometidas en otros sitios para acceder a ~14.000 cuentas de 23andMe (credential stuffing).
  • A partir de esas cuentas usaron una función de “DNA Relatives” / “relative finder” para ver datos de aproximadamente 7 millones de perfiles.
  • Los comentaristas señalan que el artículo es vago: “obtener acceso” probablemente significa ver perfiles de parientes (nombres, porcentaje de ADN compartido, ubicaciones, información genealógica), no la toma completa de cuentas para los 7 millones.
  • Algunos creen que las cifras de los medios están infladas o son engañosas, pero otros sostienen que reflejan lo grave que es la vinculación de datos a gran escala.

Responsabilidad: usuarios vs. 23andMe

  • Un sector dice que quienes reutilizan contraseñas cargan con una parte importante de la culpa; el almacén de contraseñas de 23andMe no fue comprometido.
  • Otro sector argumenta que los proveedores deben asumir que los usuarios reutilizan contraseñas y diseñar en consecuencia; culpar a los usuarios se ve como una evasiva.
  • Varios comparan el deber de cuidado de 23andMe con el de los bancos o al menos con el de plataformas que guardan información altamente sensible, que afecta también a familiares que nunca se registraron.

Medidas de seguridad propuestas y ausentes

  • Muchos sostienen que la 2FA debería haber sido obligatoria desde el principio, especialmente para datos biométricos/genéticos; 23andMe solo la impuso después del incidente.
  • Controles sugeridos:
    • Defensas contra credential stuffing y limitación de tasa entre IPs/cuentas.
    • Comprobaciones al estilo Have I Been Pwned contra contraseñas conocidas filtradas.
    • Puntuación de riesgo por dispositivo/ubicación/IP y desafíos adicionales (enlaces por correo, SMS, avisos en la app, CAPTCHAs).
  • Algunos profesionales señalan que, en la práctica, muchas empresas ignoran estas recomendaciones, al considerarlas costosas o malas para la conversión.
  • Otros rechazan la 2FA obligatoria, citando usabilidad, falta de soporte universal (p. ej., passkeys) y preocupaciones de privacidad sobre el seguimiento del dispositivo/teléfono.

Función DNA Relatives y consentimiento

  • La función permite a los usuarios que se han inscrito ver una lista de parientes genéticos (a menudo miles de personas) y detalles como nombre, ubicación aproximada y segmentos de ADN compartidos.
  • Los usuarios creían que compartían solo con un pequeño círculo de parientes confirmados; en cambio, los atacantes podían agregar millones de perfiles a través de unos pocos miles de cuentas comprometidas.
  • Los usuarios afectados informan que se les dijo que sus propias contraseñas no fueron mal utilizadas; sus datos se filtraron únicamente porque aparecían como parientes de cuentas vulneradas.
  • Algunos comparan esto con Facebook: comprometer una cuenta revela datos solo para amigos de muchas otras; otros dicen que con el ADN la gravedad es mucho mayor.

Sensibilidad y riesgos posteriores de los datos genéticos

  • Debate sobre “cuán crítica” es esta información:
    • Visión escéptica: los atacantes no pueden cometer robo de identidad fácilmente; los anunciantes no necesitan genes cuando los datos de comportamiento bastan.
    • Visión preocupada: los datos genéticos pueden vincularse a perfiles de marketing, usarse para publicidad dirigida a enfermedades, venderse a terceros no regulados o ser mal utilizados por aseguradoras/empleadores.
  • Los comentaristas destacan impactos más amplios:
    • El ADN implica a familiares que nunca dieron su consentimiento; la prueba de una persona puede revelar secretos familiares o riesgos médicos.
    • Las fuerzas del orden ya usan bases de datos genealógicas (p. ej., casos de asesinos en serie de alto perfil, retención de ADN de detenidos).
    • Los gobiernos y los bancos nacionales de genes que recopilan ADN plantean preguntas de largo plazo sobre libertades civiles.

Regulación, comparaciones y preocupaciones más amplias

  • Algunos argumentan que servicios como este deberían regularse más como instituciones financieras o infraestructura crítica, dada la irreversibilidad de la exposición genética.
  • Otros responden que hoy no están regulados así; los usuarios otorgaron conscientemente permisos amplios y de largo plazo a una startup con escasa regulación.
  • Comparación con las redes sociales: para muchos clientes, el valor central es precisamente este intercambio/matching a gran escala, así que prohibirlo podría requerir soluciones regulatorias más que cambios a nivel de producto.

Críticas a la cobertura y a la comunicación

  • Varios califican el artículo original como pobre en detalle técnico y muy centrado en señalar culpables, especialmente en torno a la narrativa “14k → 7M”.
  • La comunicación pública de 23andMe es ampliamente criticada por insensible: se percibe que enfatiza la culpa del usuario, minimiza sus propios fallos de diseño y seguridad, y provoca reacción legal y reputacional adversa.