23andMe: el fracaso continuo en la gestión de datos genéticos

La situación de 23andMe plantea un dilema crítico sobre la capacidad de ciertas compañías para proteger la información más privada de los usuarios. Resulta alarmante que una entidad responsable de custodiar datos de ADN, historiales familiares y predisposiciones genéticas a enfermedades haya demostrado una falta de preparación para garantizar la seguridad de una información tan íntima y sensible.

23andMe es uno de esos casos que obligan a hacerse una pregunta incómoda: ¿qué ocurre cuando una empresa encargada de custodiar algunos de los datos más sensibles imaginables demuestra que quizá nunca estuvo realmente preparada para hacerlo? Porque hablamos de ADN, de historial familiar, de predisposición genética a enfermedades y de una información tan íntima que, a diferencia de una contraseña o una tarjeta bancaria, simplemente no puede cambiarse. Y, una vez más, la compañía vuelve a estar en el centro de una tormenta judicial.

El fiscal general de California, Rob Bonta, ha presentado una demanda contra la antigua 23andMe —hoy formalmente conocida como Chrome Holding Co.— por las deficiencias de seguridad que desembocaron en la gigantesca filtración de datos de 2023. La acusación sostiene que la empresa no implementó medidas adecuadas para proteger la información genética de millones de clientes y que, además, engañó a los usuarios sobre la gravedad real del incidente. Según la investigación, mientras públicamente minimizaba el alcance de la brecha y desviaba parte de la responsabilidad hacia los clientes, 23andMe negociaba y pagaba un rescate al atacante para retirar información comprometida publicada en Internet y obtener detalles sobre vulnerabilidades de seguridad explotadas durante el ataque.

Como ya os contamos en su momento, la filtración de 23andMe acabó afectando a cerca de siete millones de personas, aunque el acceso inicial se produjo a través de unas 14.000 cuentas comprometidas mediante ataques de credential stuffing, aprovechando contraseñas recicladas. El verdadero problema llegó después, con la función DNA Relatives, diseñada para conectar a usuarios con coincidencias genéticas y que permitió a los atacantes ampliar enormemente el alcance del robo de datos. Para empeorar aún más la situación, la compañía tardó alrededor de cinco meses en detectar la intrusión, un plazo difícil de justificar cuando lo que está en juego es información genética altamente sensible.

Pero probablemente el aspecto más dañino para la reputación de 23andMe no fuera siquiera el hackeo en sí, sino cómo decidió gestionarlo. La empresa optó inicialmente por culpar a parte de sus usuarios por reutilizar contraseñas inseguras, una explicación que, aunque no era completamente falsa, evitaba abordar una cuestión bastante evidente: tratándose de un servicio de este nivel de sensibilidad, ¿cómo era posible que no existiera autenticación multifactor obligatoria? La compañía también minimizó públicamente el valor de parte de los datos robados, pese a que incluían parentescos familiares, ascendencia genética y otra información extremadamente delicada. Una estrategia de comunicación que ya criticamos duramente y que el fiscal californiano ahora pone también bajo la lupa.

El caso además llega en un momento especialmente delicado para la compañía. Tras declararse en bancarrota en 2025, 23andMe acabó bajo el paraguas del TTAM Research Institute, una organización sin ánimo de lucro fundada y dirigida por Anne Wojcicki, cofundadora y antigua CEO de la empresa. El nuevo operador ha querido distanciarse rápidamente de la demanda, insistiendo en que esta se refiere exclusivamente a hechos anteriores a su creación y asegurando que su objetivo pasa ahora por impulsar investigación médica y educativa con un fuerte compromiso hacia privacidad y ética. Pero el daño reputacional heredado sigue siendo enorme.

Y es que aquí hay algo importante que no conviene perder de vista. Cuando hablamos de fugas de datos solemos pensar en correos electrónicos, teléfonos o incluso credenciales bancarias, problemas muy graves pero, en cierta medida, reversibles. En el caso de 23andMe, hablamos de algo radicalmente distinto: información genética, historial familiar, condiciones médicas potenciales y perfiles de parentesco imposibles de modificar. No sorprende que las autoridades estadounidenses hayan mostrado especial preocupación por el potencial uso discriminatorio de ciertos datos relacionados con etnias, ascendencia o vínculos familiares, especialmente en un contexto de aumento de delitos de odio.

Quizá la gran lección que deja el caso 23andMe sea bastante simple y profundamente incómoda para toda la industria tecnológica. Hay sectores en los que improvisar con la seguridad no debería ser una opción, y la genética es claramente uno de ellos. Porque una contraseña se cambia. El ADN, no.