23andMe i tvojih 6,9 milijuna genoma na cesti

Sedamsto milijuna dolara je brojka kojom je 23andMe bila procijenjena na vrhuncu, kad su ljudi vjerovali da će im slina u epruveti reći tko su, odakle dolaze i hoće li umrijeti od nečeg gadnog prije nego što stignu iskoristiti drugu hipoteku. Danas ta ista kompanija vrijedi otprilike koliko i prosječni stan u Splitu s pogledom na more, a kalifornijski državni odvjetnik upravo je podnio tužbu jer je netko — eto, slučajno, pukim nesretnim spletom okolnosti — uspio izvući podatke o šest milijuna devetsto tisuća korisnika, uključujući njihove genetske profile, zdravstvene sklonosti i obiteljska stabla koja su platili da im netko nacrta.

Nije drago. Nije slučajno. Nije greška.

Problem s genetskim podacima je što ih ne možeš promijeniti kad procuri. Promijeniš lozinku za mail, promijeniš karticu, promijeniš adresu — ali ne možeš promijeniti činjenicu da ti je otac umro od raka gušterače, da nosiš BRCA mutaciju ili da si dvadeset i pet posto Skandinavac, a mislio si da si čisti Dalmatinac od pamtivijeka. Jednom kad je tvoja DNK na dark webu, tvoja DNK je na dark webu zauvijek, a jedini način da to popraviš je da nagovoriš evolucionistu da ti izmijeni genome prije nego što se rodiš, što je, ruku na srce, prilično nepraktično rješenje za nekoga tko već ima vozačku dozvolu.

Tužba kalifornijskog odvjetništva nije samo još jedna pravna gnjavaža za kompaniju koja se već mjesecima pokušava spasiti od bankrota, restrukturiranja i gubitka povjerenja investitora. To je dokument koji na 47 stranica objašnjava ono što je svakom tko je ikad držao server u rukama bilo jasno od prvog dana: kad skupljaš najosjetljivije podatke na planeti, ne možeš ih čuvati kao da su popis namirnica za nedjeljni ručak. A 23andMe ih je čuvala gore nego što prosječni hrvatski poduzetnik čuva šifru od Wi-Fi-ja u kafiću.

Podsjeća me na ranih devedesetih, kad smo u Kvarner Netu držali korisničke podatke u običnim tekstualnim datotekama jer — jebote, tko bi uopće htio ukrasti popis ljudi koji su plaćali dial-up internet? Svijet je bio naivan, ali bar smo znali da smo naivni i da to treba popraviti. Ovi su bili uvjereni da su najpametniji u prostoriji, a ispalo je da su samo najglasniji u vlastitoj ehosobini, gdje su si međusobno pljeskali na sastancima dok je sigurnosni ručak visio o koncu.

Jer evo što se zapravo dogodilo: napadači su dvije godine, čitaj ponovno — DVIJE GODINE — imali pristup podacima prije nego što je itko u kompaniji primijetio. Dvije godine u kojima su mogli preuzeti profile, uspoređivati ih, graditi baze, povezivati DNK s identitetima, spajati obiteljska stabla s adresama i brojevima kreditnih kartica. Dvije godine u kojima je netko mogao saznati da si ti, Ivan Horvat iz Osijeka, nosilac gena za Huntingtonovu bolest, i prodati tu informaciju osiguravajućoj kompaniji, poslodavcu ili jednostavno objaviti na forumu iz zajebancije.

A što je 23andMe radila te dvije godine? Ista stvar koju radi svaka startup kompanija koja je izgubila kompas: fokusirala se na rast, na nove proizvode, na priče za investitore, na sve osim na ono što je obećala svojim korisnicima. Jer sigurnost ne prodaje. Sigurnost ne privlači investitore. Sigurnost je trošak koji se vidi u bilanci, a ne u pitch decku. Sigurnost je ono što radiš kad nemaš boljeg izgovora zašto ti prihodi ne rastu dovoljno brzo.

I sad dolazi država Kalifornija, koja ima zakone o privatnosti strože od bilo koga na planeti, i kaže: niste zaštitili podatke, niste obavijestili korisnike na vrijeme, niste napravili ništa od onoga što ste obećali. I traži odštetu koja će vjerojatno biti veća od cijele vrijednosti kompanije, što je ironično na način koji samo pravnici mogu cijeniti: tužiš kompaniju za milijarde koje nema, dobiješ presudu, kompanija ode u stečaj, a ti ostaneš s papirom koji kaže da si u pravu i ničim drugim.

Ono što je posebno gadno u cijeloj priči jest da 23andMe nije samo propustila zaštititi podatke — ona je aktivan sudionik u stvaranju baze podataka koja je potencijalno eksplozivnija od bilo čega što su Facebook ili Google ikada prikupili. Jer tvoje fotografije s mora su neugodne, tvoji politički komentari su sramotni, ali tvoja DNK je — doslovno — tvoj identitet na molekularnoj razini. To je informacija koju ne možeš poništiti, ne možeš zaboraviti, ne možeš pobjeći od nje.

I tako smo došli do točke u kojoj je najveća svjetska kompanija za genetsko testiranje optužena da je svoje korisnike ostavila golima na cesti, a jedino što kalifornijski odvjetnik može napraviti jest tražiti novac koji kompanija nema. U međuvremenu, tvojih 6,9 milijuna genoma plutaju negdje u eteru, čekajući da ih netko iskoristi na način koji ni u najluđim snovima nisi mogao zamisliti kad si pljunuo u onu malu plastičnu epruvetu i poslao je poštom.

Ako moraš objasniti zašto tvoj proizvod nije prijevara, vjerojatno jest. Ako moraš objasniti zašto su podaci tvojih korisnika sigurni, vjerojatno nisu.

Izvor: bleepingcomputer.com