23andme confirme le vol de données lié aux tests ADN de 6,9 millions d'utilisateurs

Le spécialiste du test ADN récréatif 23andme a déclaré vendredi 1er décembre que le piratage dont il a récemment été victime ne concerne que 14 000 comptes clients. Il n'aurait donc touché qu'une petite partie de sa base, 23andme comptant "plus de 14 millions de clients dans le monde". Le hacker à l'origine de l'attaque avait pourtant déclaré fin octobre avoir tout récupéré.

En réalité, 23andme a aussi révélé que le hacker a pu obtenir "un nombre significatif" de fichiers liés à la généalogie d'autres utilisateurs lorsque ces derniers avaient acceptés le partage de leur données en cas de détection d'un lien familial. L'information a été rendue publique lorsqu'elle a été communiquée à l'autorité américaine des marchés financiers, la Securities and Exchange Commission (SEC).

Près de 7 millions d'individus concernés au total

En réponse à une demande de TechCrunch, l'entreprise a alors admis que les informations de 5,5 millions de comptes supplémentaires ont été obtenues de cette manière. Les noms, années de naissance, liens avec d'autres personnes et pourcentage d'ADN en commun, analyse généalogique et localisation géographique sont concernés. Par ailleuirs, 1,4 million d'utilisateurs sont concernés par la fuite d'informations sur leur nom, année de naissance, arbre généalogique et localisation.

Le hacker avait pu accéder à ces données en réutilisant des identifiants et mots de passe volés sur d'autres sites, une pratique très courante. Une fois les données récupérées, il les avait mis à disposition sur BreachForums, un site illégal d'échange et vente pour pirates. En réponse à l'incident, 23andme a requis de nouveaux mots de passe pour tous ses utilisateurs et mis en place une authentification à double facteur.

Si cette affaire sort du lot, c'est à cause de la nature particulièrement sensible des informations dérobées, touchant à la généalogie mais aussi pour certains utilisateurs à des données médicales liées à de possibles maladies génétiques. Les données génétiques pures n'auraient cependant pas été compromises, d'après l'entreprise.