Profielen van dna-database GEDmatch waren door een aanval op een server tijdelijk voor alle gebruikers toegankelijk, waaronder politie. Dat laat het bedrijf achter GEDmatch via Facebook weten. GEDmatch is een database met genetische data afkomstig van verschillende dna-testdiensten zoals 23andMe, FTDNA en AncestryDNA. In database staan 1,2 miljoen mensen.

De Amerikaanse politie heeft in het verleden verschillende keren van GEDmatch gebruikgemaakt voor het opsporen van moordverdachten. Zo werd de "Golden State Killer" via GEDmatch gevonden. Vorig jaar besloot de dienst de toegang tot de database voor politie te beperken. Opsporingsdiensten krijgen voortaan alleen nog toegang tot dna-profielen van GEDmatch waarvan de eigenaren zelf toestemming hebben gegeven. Standaard moeten gebruikers dit nu zelf inschakelen en voor alle bestaande profielen werd het delen van data met politiediensten uitgeschakeld.

Afgelopen zondag werd GEDmatch naar eigen zeggen doelwit van een "geraffineerde aanval" op één van de servers, waarbij de aanvallers via een bestaand gebruikersaccount wisten binnen te komen. Door de aanval werden de permissies van gebruikers gereset. Daardoor waren alle profielen voor alle gebruikers zichtbaar, waaronder politie. Profielen van gebruikers die geen toestemming hadden gegeven om toegankelijk te zijn voor opsporingsdiensten waren dat drie uur lang wel. Daarnaast waren de profielen van opsporingsdiensten voor alle GEDmatch gebruikers zichtbaar.

Tijdens onderzoek naar de aanval werd ontdekt dat de website nog steeds kwetsbaar was, waarop besloten werd die uit de lucht te halen. Twee dagen na de aanval op GEDmatch meldde dna-testdienst MyHeritage dat gebruikers het doelwit van een phishingaanval waren. Mogelijk maakten de aanvallers daarbij gebruik van e-mailadressen die bij GEDmatch waren gestolen, ook al laat de dna-database weten dat er geen gebruikersgegevens zijn buitgemaakt bij de inbraak. De phishingaanval wees naar een website en domeinnaam die nagenoeg identiek waren aan die van MyHeritage. In plaats van een g in de domeinnaam hadden de aanvallers voor een q gekozen. De phishingsite is inmiddels uit de lucht gehaald. MyHeritage biedt tweefactorauthenticatie voor accounts en raadt gebruikers aan dit in te stellen.