23andMe révèle l'ampleur de la récente attaque informatique sur sa plateforme

23andMe a récemment divulgué une violation de données au cours de laquelle des pirates ont obtenu un accès non autorisé à environ 14 000 comptes clients, soit 0,1 % de sa vaste base de clients. Cet incident, révélé début octobre, a mis en lumière l'exploitation d'une technique connue sous le nom de « credential stuffing », où les pirates s'infiltrent dans un compte en utilisant un mot de passe connu, potentiellement divulgué lors d'autres violations.

23andMe indique que les pirates ont accédé à des fichiers concernant l'ascendance des utilisateurs

Les données compromises comprenaient des informations généalogiques pour les 14 000 premiers utilisateurs. Pour un sous-ensemble de ces comptes, des informations de santé basées sur la génétique des utilisateurs ont également été exposées. Les répercussions de la violation de données, cependant, ont dépassé les clients directement affectés. Cela est dû à la fonctionnalité DNA Relatives de 23andMe, qui permet aux utilisateurs de partager des informations spécifiques avec d'autres personnes ayant opté pour cette fonctionnalité, créant ainsi un réseau de profils interconnectés.

Par conséquent, en accédant au compte d'une victime, les pirates pourraient potentiellement consulter les données personnelles des individus liés à cette victime initiale. Bien que l'entreprise n'ait pas fourni de chiffres précis au-delà des 14 000 initiaux, elle a reconnu qu'un « nombre important » de fichiers contenant des informations de profil sur l'ascendance d'autres utilisateurs avaient été compromis. Notamment, 23andMe n'a pas répondu aux demandes de clarification sur ces chiffres, laissant les utilisateurs préoccupés par l'ampleur de la violation.

La violation a incité 23andMe à prendre des mesures immédiates, exhortant les utilisateurs à réinitialiser et à changer leurs mots de passe. De plus, l'entreprise a préconisé la mise en œuvre de l'authentification multi-facteurs, une étape cruciale pour renforcer la sécurité. Le 6 novembre, l'entreprise a pris une position plus ferme, exigeant que tous les utilisateurs utilisent la vérification en deux étapes, renforçant ainsi la protection des comptes des utilisateurs. Une analyse des données volées, plus tard annoncée sur des forums de pirates, a indiqué qu'elle comprenait des informations sur l'ascendance génétique des utilisateurs.

Répercussions de l'attaque et réactions du secteur

Certains ensembles de données correspondaient à des détails trouvés dans des registres de généalogie publics, suggérant que les informations exposées circulaient peut-être en ligne depuis des années. La situation a été exacerbée par la tentative d'un pirate de vendre les présumés dossiers de millions d'utilisateurs, avec des prix allant de 1 à 10 dollars par individu. La violation a d'abord attiré l'attention du public lorsque des pirates ont annoncé la vente des données d'un million d'utilisateurs d'ascendance juive ashkénaze et de 100 000 utilisateurs chinois sur un forum de piratage bien connu.

Par la suite, le même pirate a élargi l'offre pour inclure quatre millions de dossiers d'utilisateurs supplémentaires. De manière inquiétante, un autre pirate sur un forum différent avait précédemment affirmé posséder une masse massive de 300 téraoctets de données volées d'utilisateurs de 23andMe, demandant une somme importante pour l'ensemble de la base de données ou proposant des sous-ensembles à la vente. En réponse à cette exposition généralisée des données, les mesures de sécurité de 23andMe ont évolué. Les réinitialisations forcées de mots de passe et l'encouragement à l'authentification multi-facteurs étaient des mesures initiales pour atténuer l'impact de la violation.

La mise en œuvre ultérieure obligatoire de la vérification en deux étapes visait à renforcer la sécurité des utilisateurs et à empêcher tout accès non autorisé. Les répercussions de la violation de 23andMe ont dépassé l'entreprise elle-même. Dans les jours qui ont suivi, d'autres entreprises de tests ADN, telles qu'Ancestry et MyHeritage, ont également pris des mesures pour renforcer leurs mesures de sécurité en imposant l'authentification à deux facteurs à leurs utilisateurs. Cet incident a souligné les défis croissants auxquels sont confrontées les entreprises traitant des données génétiques et personnelles sensibles, mettant en évidence la nécessité de mesures robustes de cybersécurité pour protéger les informations des utilisateurs contre les acteurs malveillants.