Ancestry vs 23andMe: Slik beskyttes genetiske data

Nær sagt over natten ble personlig slektsforskning forvandlet fra en hyggelig hobby til et digitalt mareritt for millioner av brukere. Etter et omfattende credential stuffing-angrep som rammet genetiske databaser, har spørsmålet om digital datasikkerhet for arvestoff blitt akutt. For forbrukere som har delt sin mest intime informasjon med aktører som Ancestry og 23andMe, handler det ikke lenger bare om å finne fjerne slektninger, men om hvordan disse gigantene faktisk beskytter selve livets kildekode. Hvordan står egentlig Ancestry vs 23andMe seg mot hverandre i tiden etter de digitale sikkerhetsbruddene?

Sikkerhetskrisen som rystet genetiske databaser

Da hackerangrepet rammet, var det ikke selve krypteringen av det genetiske materialet som sviktet først, men måten brukerprofiler var sikret på. Gjennom såkalt credential stuffing utnyttet angripere lekkede brukernavn og passord fra andre nettsteder. Resultatet var at uvedkommende fikk tilgang til sensitive profildata, trefflister over slektninger og geografisk opphav. Selve den råe DNA-sekvenseringen lå tryggere lagret i separate databaser, men informasjonen som ble hentet ut fra profilflaten var mer enn nok til å skape stor uro rundt Ancestry vs 23andMe og deres håndtering av personvern.

Aksesskontroll på profilnivå viste seg å være det svakeste leddet i kjeden for privat genetisk testing.

Rå genomic data kontra profilmetadata

Det er avgjørende å skille mellom to typer informasjon når vi vurderer datasikkerheten hos DNA-tjenester. På den ene siden har vi rå genomic data – de faktiske kjemiske baseparsekvensene som utgjør ditt biologiske arvestoff. På den andre siden finner vi profilmetadata, som inkluderer navn, estimert etnisitet, familietrær og delte DNA-segmenter med andre brukere.

Hvordan beskyttelsen skiller seg ut

• Rådata: Lagres under strengt isolerte forhold, ofte med flerlags kryptering både under lagring og transport, og krever ekstra verifisering for nedlasting.
• Metadata: Ligger tettere på brukergrensesnittet for å muliggjøre raske søk og sammenligninger, noe som gjør dem mer eksponert dersom en konto blir kompromittert.

Etter sikkerhetshendelsene har begge selskaper strammet inn tilgangen til metadata betydelig, slik at man ikke lenger kan hente ut omfattende trefflister uten eksplisitt godkjenning og utvidet sikkerhet.

Nye sikkerhetstiltak og personvernregler

Som svar på angrepene har bransjen måttet tenke nytt om brukerautentisering. Der tofaktorautentisering (2FA) tidligere var et frivillig valg for spesielt interesserte, har det nå blitt et obligatorisk krav hos de ledende aktørene. Dette hindrer at automatiserte skript kan ta seg inn på kontoer selv om passordet er på avveie. I tillegg har vilkårene for deling av anonymiserte data til forskning blitt tydeligere, med strengere samtykkemodeller som gir brukerne bedre kontroll over egne biologiske spor.

Hvilken plattform har den sterkeste modellen?

Når vi analyserer Ancestry vs 23andMe i dagens sikkerhetsklima, ser vi to litt ulike tilnærminger til risikohåndtering. Ancestry har i stor grad dratt nytte av sin lange erfaring med tradisjonell slektsforskning, der datastrukturen skiller tydeligere mellom historiske offentlige poster og private DNA-resultater. 23andMe, som har hatt et sterkere fokus på helse og genetisk risiko, har på sin side måtte gjennomføre en mer omfattende overhalingsprosess av sitt brukergrensesnitt for å tette hullene som gjorde masseuthenting av relasjonsdata mulig.

Valget mellom plattformene handler i dag ikke bare om hvem som har flest brukere i sine arkiver, men hvem du stoler mest på når det gjelder kontinuerlig overvåking av cybertrusler og etterlevelse av strenge personvernstandarder som GDPR.

Har du utført en DNA-test på nett, og har angrepene endret hvordan du ser på lagring av dine genetiske data? Del gjerne dine tanker i kommentarfeltet!