Les données ADN de millions de personnes ont été subtilisées par des hackers. Les pirates se sont attaqués à des internautes qui font preuve d’une grave négligence en matière de sécurité informatique. En effet, l’attaque n’a été rendue possible que grâce au recyclage de mots de passe…
23andMe, une entreprise américaine spécialisée dans les tests génétiques, a été victime d’une attaque informatique. Dans un communiqué publié sur son site web, la firme indique que des pirates sont parvenus à dérober « certaines informations de profil client ».
À lire aussi : Cette IA peut-elle cracker votre mot de passe ? Faites le test
Des données ADN très sensibles
D’après une enquête menée par nos confrères de Bleeping Computer, les données ADN volées ont été mises en vente le 4 octobre dernier sur un forum de cybercriminels. Le vendeur commercialise les données en vrac pour 1 à 10 dollars par compte. Sans surprise, il pratique un tarif dégressif. Plus la quantité de données achetées est importante, plus le prix baisse.
« Chaque ensemble de données est également livré avec les adresses e-mail correspondantes », explique le pirate dans l’annonce.
Les bases de données comprennent les noms des utilisateurs, le sexe, les photos de profil, les résultats de l’ascendance génétique, la date de naissance ou encore l’emplacement géographique. On y trouve aussi « des estimations sur les origines », des informations sur les phénotypes (les caractéristiques observables d’un individu), les haplogroupes (des groupes génétiques formés par l’analyse de certaines régions spécifiques du génome), ou des « liens vers des centaines de parents potentiels ». C’est évidemment une catastrophe pour la vie privée des usagers.
1/2 A threat actor has allegedly leaked data from 23andMe @23andMe. They claim the data has a list of half of the users of 23andMe; 7 million. The data includes a lot of confidential information. #23andMe #DNA #Clearnet #DarkWeb #DarkWebInformer #Database #Leaks #Leaked pic.twitter.com/OAj1m0gjgx
— Dark Web Informer (@DarkWebInformer) October 3, 2023
Pour le moment, l’ampleur du piratage est encore incertaine. Si l’on en croit les enquêteurs de Dark Web Informer, sept millions de personnes, soit la moitié des clients de 23AndMe, ont été piratés. Ils ont en effet trouvé des précisions concernant la taille de la base de données volées sur un forum de pirates.
Néanmoins, les pirates n’ont pas vraiment piraté des millions de comptes. Ils se sont vraisemblablement appuyés sur la fonctionnalité « DNA Relatives ». Celle-ci permet de trouver des parents génétiques et d’entrer en contact avec eux. Après avoir accédé aux comptes visés, les hackers ont collecté toutes les données relatives aux correspondances dénichées par 23AndMe. Les pirates se sont appuyés sur la méthode du « scraping », ou grattage, qui consiste à extraire des données massivement grâce à des programmes automatisés. En clair, la compromission d’une poignée de comptes a provoqué un effet boule de neige sur le reste des utilisateurs.
Le danger du recyclage de mots de passe
Pour accéder aux données de 23andMe, les hackers se sont attaqués aux utilisateurs qui recyclent leurs identifiants de connexion. En clair, ceux-ci utilisaient le même nom et mot de passe sur plusieurs plateformes en ligne. Les attaquants n’ont eu à qu’à utiliser des données compromises, déjà en leur possession, pour se connecter incognito sur le compte 23andMe des victimes.
D’après Scott Hadly, responsable chez 23AndMe, « les identifiants de connexion utilisés dans ces tentatives d’accès peuvent avoir été recueillis par un attaquant à partir de données divulguées lors d’incidents impliquant d’autres plateformes en ligne ».
Il s’agit d’une attaque appelée le « credential stuffing », soit du remplissage d’identifiants. Ce type d’offensives consiste à multiplier les tentatives de connexion sur plusieurs plateformes avec une combinaison d’identifiants. Les pirates sont évidemment conscients que la plupart des internautes recyclent le même mot de passe pour sécuriser tous leurs comptes en ligne. Une étude du gestionnaire Dashlane révèle d’ailleurs que plus de la moitié des utilisateurs s’appuient sur un seul mot de passe pour sécuriser leur centaine de comptes. C’est une aubaine pour les cybercriminels.
23AndMe recommande à tous ses clients de ne jamais réutiliser un mot de passe pour sécuriser leur compte. La société demande surtout aux utilisateurs de réinitialiser leur mot de passe et choisir un code unique. Par souci de facilité, on vous conseille de passer par un gestionnaire de mots de passe, comme Dashlane ou 1password, qui va enregistrer tous vos codes et vous suggérer des combinaisons bien sécurisées. Enfin, 23AndMe encourage aussi sa clientèle à activer l’authentification double facteur (2FA). Cette couche supplémentaire de protection demande deux types d’informations distincts pour vérifier l’identité de l’utilisateur.
La firme américaine, très prisée des individus à la recherche de leurs origines ou d’éventuels problèmes de santé héréditaires, précise ne pas avoir la moindre la preuve qu’un « incident de sécurité des données » est survenu dans ses systèmes. Sauf surprise, l’infrastructure informatique de 23AndMe n’a pas été affectée.
Source :
The Verge