Le procureur général de Californie a poursuivi jeudi la société de checks génétiques anciennement connue sous le nom de 23andMe, alléguant qu’elle n’avait pas réussi à protéger les données sensibles des utilisateurs lors d’une violation survenue en 2023 qui a touché près de 7 thousands and thousands de personnes à travers le pays.
Le procureur général Rob Bonta a intenté une motion en justice contre Chrome Holding Co., sous laquelle 23andMe a rebaptisé après avoir déposé son bilan en mars dernier. 23andme est connu pour ses kits de checks ADN destinés directement aux consommateurs, qui fournissent aux shoppers des informations sur leur ascendance et leurs prédispositions génétiques à certains problèmes de santé.
Le procès appelle à diverses sanctions civiles contre 23andMe et à des injonctions empêchant l’entreprise de nouvelles violations des lois californiennes sur la safety de la vie privée.
L’entreprise a reconnu avoir subi une faille de sécurité majeure en 2023 qui a entraîné l’accès à environ 14 000 comptes, grâce auxquels elle a pu voler les données de près de 7 thousands and thousands de shoppers. La cyberattaque a eu recours au « credential stuffing », qui exploite la tendance des shoppers à utiliser des mots de passe faibles ou courants ou à réutiliser les mots de passe entre plusieurs comptes.
Le bureau de Bonta a déclaré qu’il s’agissait d’une attaque bien connue contre laquelle les entreprises devraient se prémunir. Les attaquants ont utilisé des identifiants de compte utilisateur volés, notamment ceux issus d’une violation large de données en octobre 2017 qui a affecté MyHeritage, l’un des anciens partenaires de 23andMe. Après cette violation, 23andMe n’a pas adopté les protocoles courants tels que demander aux shoppers de réinitialiser leurs mots de passe ou d’utiliser l’authentification multifacteur.
23andMe n’a pas immédiatement répondu à une demande de commentaire envoyée par courrier électronique.
“Les mesures de sécurité de 23andMe étaient si laxistes que l’acteur malveillant a pu opérer sans être détecté dans les systèmes de 23andMe pendant plus de cinq mois, et remarquablement, 23andMe n’a commencé à enquêter qu’après que l’acteur malveillant a proposé à la vente les données utilisateur volées sur le darkish net et a contacté 23andMe pour exiger une rançon”, ont déclaré les procureurs dans la plainte.
En octobre 2023, les données volées sont apparues en vente sur le darkish net, l’affiche vantant spécifiquement qu’environ 1,1 million de données de consommateurs appartenaient à des utilisateurs des îles d’Asie-Pacifique et des juifs ashkénazes.
« La vente de ces données sur le darkish net a eu lieu dans une période de montée de la haine et de la violence anti-asiatiques et insulaires du Pacifique, antisémites », a déclaré Bonta dans un communiqué de presse. “C’est inquiétant et incroyablement dangereux.”
Certaines des données volées comprenaient des données génétiques brutes, des rapports de santé, de l’ADN partagé avec d’autres proches, ainsi que des lieux et des années de naissance de proches.
Le procès indique qu’après avoir informé le public de la violation, 23andMe a continué d’induire les consommateurs en erreur sur la gravité de la violation et le rôle de l’entreprise dans celle-ci.
La société a déclaré qu’elle n’avait découvert la violation qu’en octobre 2023, lorsque les données volées avaient été mises en vente sur le darkish net. Cependant, le procès indique que la société n’a pas enquêté correctement sur les signaux d’alarme apparus des mois plus tôt, tels qu’un “pic suspect dans les tentatives de connexion des utilisateurs” en juillet et un article sur Reddit discutant d’une éventuelle violation et vente des données des utilisateurs en août.
Les données génétiques nécessitent « l’un des niveaux de safety les plus élevés » et la loi californienne « impose une obligation légale renforcée » pour les protéger, indique le procès.
Bonta est également intervenu pour garantir que les données génétiques des shoppers ne seraient pas mal gérées lors de la faillite et de la vente d’actifs de 23andMe en vertu du chapitre 11, arguant que la loi californienne sur la confidentialité des informations génétiques exigeait que les entreprises obtiennent le consentement des shoppers avant de vendre leurs informations génétiques à des tiers. Cependant, la vente a été autorisée.
En 2024, 23andMe a accepté de payer un règlement de 30 thousands and thousands de {dollars} dans le cadre d’un recours collectif accusant l’entreprise de ne pas avoir protégé les shoppers dont les informations personnelles ont été exposées lors de la violation. Le montant a été porté à 50 thousands and thousands de {dollars} pour résoudre la plupart des réclamations des shoppers américains et a reçu l’approbation finale en janvier par un juge fédéral supervisant la faillite de 23andMe.
