La fuite de données ne concerne pas seulement 14 000 comptes mais 6,9 millions de personnes. Comme dévoilé par TechCrunch, le spécialiste du test génétique 23andMe vient de réviser largement à la hausse les dégâts commis par les pirates informatiques qui avaient visé l’entreprise.
Cette nouvelle estimation se rapproche des affirmations des pirates derrière la fuite de données. Cet automne, ces derniers affirmaient avoir fait main basse sur des informations relatives à la moitié des utilisateurs de 23andMe, soit environ sept millions de personnes. Ils avaient mis en vente sur des marchés noirs des informations de profil, vendues de 1 à 10 dollars par compte suivant le volume d’achat.
Bourrage d’identifiants
Selon 23andMe, les pirates ont eu accès au nom d’utilisateur, à son année de naissance, son pourcentage d’ADN partagé avec des proches, les photos de profil et pour une partie de leurs victimes (1,4 million), leurs arbres généalogiques, avec parfois des années de naissance et des données de localisation. La société avait au départ estimé que la fuite de données était due à une attaque par bourrage d’identifiants ayant visé les 14 000 comptes mentionnés initialement.
Ces intrusions ont cependant permis aux pirates de mettre la main sur un fichier bien plus large grâce à la fonctionnalité de partage d’informations entre utilisateurs, “DNA Relatives”. “Nous travaillons à supprimer ces informations du domaine public”, a déclaré l’entreprise, qui a réinitialisé tous les mots de passe de ses utilisateurs au début du mois d’octobre et activé la double authentification un mois plus tard.
Clients en France
Même si les tests ADN généalogiques sont interdits par la loi en France, il est probable que de nombreux français aient été des clients de 23andMe avant que cette société ne stoppe ses livraisons vers l’Hexagone en janvier dernier. Selon l’association DNA Pass, 1,5 millions de français auraient déjà effectué un test ADN à des fins généalogiques.
23andMe a également précisé qu’elle allait engager entre un et deux millions de dollars dans cette affaire de fuite de données. Une somme destinée à couvrir ses frais juridiques et de conseils technologiques: l’entreprise fait déjà face à des recours judiciaires aux Etats-Unis et au Canada.