23andme : un hacker menace de vendre les données génétiques de 14 millions de personnes

La fuite de données touchant 23andme prend de l’ampleur. Le hacker à son origine affirme avoir mis la main sur les données personnelles de 14 millions d’utilisateurs de la plateforme américaine d'analyse ADN. Et il vient de publier les informations de plus de 4 millions d’entre elles sur BreachForums, l'un des plus gros forums utilisés par les pirates informatiques pour revendre ou s'échanger des données volées.

Données génétiques

Surtout, le hacker, qui officie sous le pseudonyme de Golem, assure disposer de “centaines de TB” de données génétiques, de données de santé et de liens de parenté. Des données qu’il n’a pas encore publiées afin, dit-il, de protéger des “gens innocents effrayés sur les réseaux sociaux”. Mais il promet désormais de vendre l’ensemble de ces informations à partir de dimanche, invitant les utilisateurs de 23andme à effacer leur profil avant cette date.

En octobre, les informations d’un million de personnes avaient déjà été mises en ligne par le même pirate. La société américaine assurait alors n’avoir constaté “aucun incident de sécurité des données au sein de [ses] systèmes” informatiques. Selon elle, ces informations ont été récoltées en utilisant des mots de passe volés sur d’autres sites.

En utilisant cette technique, connue sous le nom de "credential stuffing" (ou bourrage d'identifiant), le pirate a pu accéder à des comptes personnels sur 23andMe. Ils ont ensuite utilisé une fonctionnalité de la plateforme, qui permet de trouver et de se connecter avec des membres de sa famille, proche ou éloignée, pour capter des données supplémentaires.

23andme refuse de payer

Interrogé sur cette nouvelle fuite, 23andme explique “examiner les données” pour déterminer si elles sont bien authentiques. Le site Techcrunch assure, cependant, avoir pu vérifier que certaines données correspondent bien à des profils publics.

Selon l’attaquant, 23andme aurait refusé de lui verser 100 000 dollars afin qu’il efface l’ensemble des données qu’il a pu collecter et qu’il leur indique la faille de sécurité qu’il a exploitée. Il met aussi en avant des pratiques de sécurité inadaptées, qui sont au cœur de plusieurs poursuites judiciaires lancées ces derniers jours contre la société.

23andme offre des analyses génétiques récréatives, à réaliser à domicile après l’envoi d’un kit de prélèvement. Ces analyses doivent permettre par exemple d’identifier ses origines géographiques ou des prédispositions génétiques pour développer certaines maladies. La véracité de ces tests, toujours interdits en France, est remise en cause par des experts.

Caractère antisémite

L’attaquant propose, pour le moment, les noms, les dates de naissance, les adresses e-mails, les photos de profil mais aussi les résultats des tests portant sur les origines des utilisateurs. Il assure que sa base contient des informations “sur les personnes les plus riches qui vivent aux Etats-Unis et en Europe”, citant la famille royale britannique, les Rothschilds et les Rockefellers.

La publication de ces informations présente aussi un caractère antisémite. Début octobre, elle visait des juifs Ashkénazes. Le pirate mettait alors en avant la possibilité pour les acheteurs d’effectuer du “ciblage ethnique”. Son discours a changé depuis l’attaque du Hamas et la riposte israélienne. Il vise désormais “les familles riches qui supportent le sionisme”. Il évoque aussi “l’attaque ignoble” contre un hôpital à Gaza. “Tout ce qui peut rendre les J nerveux est une bonne chose”, lui répond un autre utilisateur de BreachForums.