Por qué una violación de datos en un sitio de genealogía preocupa a los expertos en privacidad

Casi dos tercios de los usuarios de GEDmatch optan por no ayudar a las fuerzas del orden. Durante un breve período de este mes, eso no importó.

La infracción de GEDmatch muestra lo que puede salir mal cuando la información genética almacenada no se protege adecuadamente.

Los peculiares partidos comenzaron temprano un domingo por la mañana. En todo el mundo, los genealogistas descubrieron que tenían numerosos parientes nuevos en GEDmatch, un sitio web conocido por su papel en ayudar a resolver el caso de Golden State Killer.

Los nuevos parientes suelen ser motivo de celebración entre los genealogistas. Pero luego de una inspección más cercana, los usuarios experimentados notaron que algunos de los nuevos parientes parecían ser el ADN equivalente de un bot de Twitter o un estafador de Match.com; el ADN hizo cosas que el ADN de personas reales no debería poder hacer.

Otros parecían ser presuntos asesinos y violadores, subidos por genealogistas que trabajaban con las fuerzas del orden. Los usuarios sabían que la policía a veces usaba el sitio para tratar de identificar el ADN encontrado en la escena del crimen. Pero los usuarios encontraron extraños los nuevos perfiles porque también sabían que se suponía que los perfiles creados con fines policiales debían estar ocultos para evitar alertar o molestar a los familiares de un sospechoso en medio de una investigación. Sin embargo, lo que realmente llamó la atención fue el hecho de que el millón de usuarios que habían optado por no ayudar a las fuerzas del orden se habían visto obligados a hacerlo.

GEDmatch, un sitio de historia familiar de larga data que contiene alrededor de 1,4 millones de información genética de personas, había sufrido una violación de datos. Las coincidencias peculiares no fueron nuevas cargas, sino más bien el resultado de dos hacks consecutivos, que anularon la configuración del usuario existente, según Brett Williams, director ejecutivo de Verogen, una empresa forense propietaria de GEDmatch. desde diciembre .

Aunque el crecimiento de los sitios genealógicos ha desaceleró un poco en los últimos años ha aumentado su uso por parte de la policía. Después de que las autoridades de California usaran GEDmatch en 2018 para identificar a un sospechoso en el caso Golden State Killer de décadas, los departamentos de policía de todo el país comenzaron a revisar sus archivos de casos sin resolver con la esperanza de que esta nueva técnica pudiera resolver viejos crímenes.

Y GEDmatch era a menudo su sitio preferido. A diferencia de los servicios de genealogía Ancestry y 23andMe, que se comercializan para personas que son nuevas en el uso del ADN para aprender sobre sí mismos, GEDmatch está dirigido a investigadores más avanzados. El sitio atrae a la policía porque permite que se cargue el ADN que se ha procesado en otro lugar. Verogen tiene un largo historial de trabajo con las fuerzas del orden, y la adquisición de GEDmatch solidificó aún más esta colaboración.

Los científicos y genealogistas dicen que la violación de GEDmatch, que expuso más de un millón de perfiles adicionales a los funcionarios encargados de hacer cumplir la ley, ofrece una ventana importante a lo que puede salir mal cuando los responsables de almacenar información genética no toman las precauciones necesarias.

En una entrevista, Williams dijo que la primera infracción ocurrió a principios del 19 de julio. Después de cerrar el sitio, su equipo encubrió la vulnerabilidad, dijo, y la volvió a poner en línea, pero solo brevemente. El lunes volvimos a cerrar el sitio porque estaba claro que los piratas informáticos lo estaban intentando de nuevo, dijo.

Esta vez, el sitio permaneció inactivo durante casi una semana. Estamos tomando mucha precaución porque no queremos terminar en la misma situación nuevamente, dijo Williams.

Williams dijo que contrató a un equipo de seguridad externo y se comunicó con el F.B.I. para ver si la agencia investigaría. El F.B.I. no respondió a una solicitud de comentarios.

Todo estaba lejos de resolverse cuando se restauró la configuración del sitio, dijo Debbie Kennett, una genealogista en Inglaterra, quien escribi sobre la brecha en su blog. Estamos atrapados con nuestro ADN de por vida, dijo. Una vez que está disponible, no es como una dirección de correo electrónico que puedas cambiar, dijo en una entrevista. Debido a su naturaleza interconectada, agregó, cuando la información genética de una persona está expuesta, el ADN expuesto también puede afectar potencialmente a los miembros de su familia.

En un artículo publicado el año pasado , Michael Edge, profesor de ciencias biológicas en la Universidad del Sur de California, y otros investigadores advirtieron a varios sitios web de genealogía que eran vulnerables a las filtraciones de datos.

Por supuesto, los ataques le ocurren a muchas empresas, incluso a entidades que se toman la seguridad muy en serio, dijo. Al mismo tiempo, la respuesta de GEDmatch, y eventualmente de Verogen, a nuestro artículo no inspiró mucha confianza en que se lo estuvieran tomando en serio. Otros sitios web de genealogía, agregó, parecían más abiertos a las recomendaciones de los investigadores para mejorar la seguridad.

Para muchos, la presencia de usuarios falsos en GEDmatch fue tan alarmante como la propia infracción. Los genealogistas saben que no pueden confiar en nombres o correos electrónicos. También saben que un usuario puede cargar fácilmente el perfil genético de otra persona. Pero la brecha expuso que detrás de escena, ocultos por configuraciones de privacidad, había todo tipo de perfiles de personas que ni siquiera eran reales.

El indicio de que los partidos no eran parientes reales fue que su ADN era demasiado bueno para ser verdad, dijo Leah Larkin, bióloga que dirige Geek del ADN, una empresa de investigación genealógica. Las personas que administraban perfiles para muchos clientes y familiares encontraron repetidamente que estos usuarios falsos de alguna manera se mostraban como parientes cercanos en los perfiles no relacionados. Su información de ascendencia visible reforzó que las coincidencias eran imposibles y sugirió que los perfiles falsos habían sido diseñados para engañar al algoritmo de búsqueda del sitio por alguna razón.

En el artículo del Dr. Edge, advirtió que era posible crear perfiles falsos para identificar personas con variantes genéticas asociadas con el Alzheimer y otras enfermedades.

Si algo es solo un genealogista geek jugando, no hay preocupación, dijo el Dr. Larkin. Pero se convierte en un problema, dijo, si los usuarios están tratando de encontrar personas que compartan una mutación o rasgo genético en particular, como advirtió el Dr. Edge. Dicha información podría ser abusada por compañías de seguros, compañías farmacéuticas u otros, dijo.

La brecha también reforzó algo que los genealogistas han estado diciendo durante años: mezclar genealogía y aplicación de la ley es complicado, incluso cuando se trata de trazar líneas claras. Hasta hace dos años, el F.B.I. y la policia. Eso cambió con el caso Golden State Killer en 2018.

Mientras los departamentos de policía se apresuraban a volver a investigar los casos sin resolver, GEDmatch, que en ese momento estaba dirigido por dos aficionados a la historia familiar como una especie de proyecto de pasión, trató de servir a dos audiencias: genealogistas que simplemente querían rastrear su árbol genealógico y funcionarios encargados de hacer cumplir la ley que querían para saber si un asesino o un violador se escondía en una de sus ramas. En medio de una reacción violenta, GEDmatch cambió su política en mayo de 2019 para que solo los usuarios que optaron explícitamente por ayudar a las fuerzas del orden aparezcan en los registros policiales. Aún así, existe poca regulación sobre cómo las autoridades pueden usar GEDmatch y otras bases de datos de genealogía, por lo que depende en gran medida de las empresas y sus usuarios vigilar ellos mismos.

Y como demostró la infracción, los deseos de los usuarios podrían anularse rápidamente.

Para algunos usuarios, la razón para mantener la privacidad de sus perfiles es filosófica. Incluso si ayudar a las fuerzas del orden público podría significar ayudar a atrapar a un asesino, no quieren que se utilice su información genética para incriminar a sus familiares. Otros, como Carolynn ni Lochlainn, genealogista de Huntington, Nueva York, mantienen sus perfiles en privado porque les preocupa que los datos se utilicen de forma inadecuada para arrestar a personas inocentes.

Trabajo con muchos clientes y primos negros, y estaba muy enojado por el riesgo inexcusable al que estaban colocados, dijo la Sra. Ni Lochlainn.

Colleen Fitzpatrick, fundadora de Identifinders International, que aplica técnicas de genealogía forense para identificar restos no reclamados y sospechosos de delitos, supervisa un equipo que depende en gran medida de GEDmatch.

Su equipo se vio afectado de manera diferente a los clientes de los genealogistas. Habían subido ADN de escenas del crimen y bebés no identificados que habían sido abandonados por sus madres. Debido a que habían marcado la casilla de aplicación de la ley, se suponía que estos perfiles no aparecían en las búsquedas de sus parientes. Durante una breve ventana en el tiempo, toda la base de datos, pudieron vernos, dijo.

Dijo que era poco probable que alguien que trabajara con las fuerzas del orden hubiera aprovechado la violación para obtener una coincidencia en contra de la voluntad de un familiar, dado el poco tiempo involucrado. No fue esta magnífica revelación de la que vamos a sacar provecho, dijo.

No obstante, la violación indiscutiblemente socavó la confianza de todos, dijo. Creo que Verogen necesita mejorar su juego, dijo.