23ANDME et la violation de credential stuffing qui a transformé les proches en surface d’exposition

Résumé

• Accès confirmé en couches:23andMe a initialement révélé qu’environ 0,1 % des comptes d’utilisateurs, souvent décrits à l’époque comme environ 14 000, avaient été consultés au moyen d’identifiants réutilisés d’autres services. L’enquête conjointe Canada-Royaume-Uni menée par la suite a fait état de 18 222 comptes directement consultés dans le monde. Par le biais de ces sessions, l’attaquant a récupéré des informations de parents ADN (DNA Relatives) et d’arbres généalogiques (Family Tree) appartenant à près de sept millions de clients.
• Les proches ont élargi le rayon de l’explosion:Un client qui s’était inscrit à DNA Relatives rendait visibles aux correspondances certaines informations de profil, d’ascendance et de parenté. L’attaquant n’avait donc pas besoin que chaque personne concernée ait réutilisé un mot de passe. Le produit transformait un petit ensemble de connexions valides en une autorisation de consulter un graphe de relations beaucoup plus vaste.
• La détection et la réponse ont échoué à plusieurs niveaux:Les régulateurs ont identifié des périodes intenses de credential stuffing, un plantage de la plateforme en juillet causé par plus d’un million de connexions à un seul compte, des centaines de tentatives de transfert de profils et une revendication en août d’un vol massif de données. La vaste campagne n’a été confirmée que lorsque les données volées ont été mises en vente en octobre 2023. La vérification en deux étapes obligatoire, la réinitialisation globale des mots de passe et le renforcement des contrôles de téléchargement des données ADN brutes ont suivi.
• La responsabilité est partagée, mais pas de manière égale:L’attaquant est responsable de l’accès non autorisé, de l’aspiration et de la publication des données. Les clients ayant réutilisé leurs mots de passe ont créé une voie d’accès initiale. 23andMe contrôlait seule les paramètres d’authentification par défaut, la vérification des mots de passe compromis, les autorisations de session, les limites de requêtes sur les relations, la télémétrie, la réponse et la notification. Les conclusions réglementaires ultérieures, une amende britannique, un accord de recours collectif, les protections liées à la vente dans le cadre de la faillite et une action coercitive toujours contestée en Californie mesurent différentes questions juridiques; aucune ne vient étayer, sans preuve, les allégations d’une utilisation abusive spécifique des données génétiques en aval.

Un seul mot de passe, de nombreuses personnes

Un comptage classique des prises de contrôle de comptes se demande combien de comptes un attaquant a pu pénétrer. C’est nécessaire ici, mais radicalement incomplet. DNA Relatives a été conçue pour montrer à un client entité un ensemble de correspondances génétiques. Selon le niveau d’abonnement, précise l’enquête conjointe, un compte activé pouvait consulter soit 1 500, soit 5 000 profils DNA Relatives. Une correspondance pouvait exposer un nom d’affichage, une relation prédite, le pourcentage d’ADN partagé et, éventuellement, des informations sur l’ascendance, la localisation, l’année de naissance, une photographie, le nom de famille et des champs d’arbre généalogique. La description actuelle de 23andMe rend d’ailleurs parfaitement clair le modèle de partage sous-jacent: les entités choisissent d’apparaître aux correspondances génétiques, et certains détails deviennent visibles dans ce contexte de parenté. (Paramètres de confidentialité et d’affichage de DNA Relatives de 23andMe)

Ce n’était pas la même chose que de publier un profil sur le web ouvert. La visibilité était conditionnée par un compte 23andMe authentifié, la participation à la fonctionnalité et une relation de correspondance génétique calculée par le service. Mais le partage conditionnel peut néanmoins créer une large surface d’autorisation. Une fois que l’attaquant parvenait à usurper l’identité d’un client entité, le service considérait la session comme autorisée à voir les informations fournies par d’autres personnes. Ces autres personnes pouvaient avoir utilisé des mots de passe uniques et une authentification plus forte.

Leur sécurité dépendait pourtant en partie du compte connecté le plus faible et des contrôles limitant ce que ce compte pouvait récupérer.

C’est le problème du profil partagé. Le titulaire du compte compromis et la personne concernée par les données exposées sont souvent des personnes différentes. L’un contrôle l’identifiant; l’autre fournit le profil visible; la plateforme définit la relation et accorde l’accès. Une analyse qui attribue entièrement l’incident à la réutilisation des mots de passe amalgame ces rôles. Elle passe aussi à côté de la décision produit qui a démultiplié la valeur de chaque connexion réussie.

Cette distinction est particulièrement importante dans un service de génétique car les informations de parenté sont intrinsèquement relationnelles. Un pourcentage d’ADN partagé décrit une connexion entre au moins deux personnes. Un arbre généalogique peut inclure des personnes qui n’ont jamais ouvert de compte. Une relation prédite est générée à partir de données comparatives et n’appartient pas, sur le plan opérationnel, à une seule partie. Le consentement d’un client à participer à une fonction de correspondance ne donne pas à ce client un contrôle technique sur la façon dont la session compromise d’un autre client est détectée ou limitée.

Tout ceci ne prouve pas un préjudice génétique spécifique. Les éléments examinés n’établissent pas qu’un employeur, un assureur, un organisme gouvernemental ou un décideur médical ait utilisé les informations exposées contre une personne concernée. Ils établissent en revanche un accès non autorisé aux comptes, une collecte automatisée, la publication ou la mise en vente en ligne de certaines informations, et l’exposition de champs de profil et de compte définis. La responsabilité doit reposer sur ces événements avérés et sur les risques que les régulateurs étaient légalement tenus d’évaluer, et non sur des scénarios hypothétiques en aval.

Quatre catégories de preuves distinctes

Le dossier public s’est étoffé au fil de deux ans, et les étiquettes comptent. Il ne faut pas mélanger ces quatre catégories de preuves.

Le formulaire 8-K modifié de décembre 2023 déposé par 23andMe est un document clé de l’entreprise. Il indiquait qu’un acteur malveillant avait accédé à 0,1 % des comptes d’utilisateurs pour lesquels le nom d’utilisateur et le mot de passe 23andMe correspondaient à des identifiants précédemment compromis ou disponibles ailleurs. Il ajoutait que l’acteur avait utilisé ces comptes pour accéder à des fichiers contenant des informations de profils d’ascendance que d’autres utilisateurs avaient choisi de partager via DNA Relatives, et avait publié certaines informations en ligne. L’entreprise a déclaré n’avoir aucune indication qu’elle était la source de ces identifiants. (Formulaire 8-K modifié de 23andMe)

Le rapport conjoint de juin 2025 du Commissariat à la protection de la vie privée du Canada et de l’Information Commissioner’s Office (ICO) du Royaume-Uni constitue la reconstitution publique consolidée la plus solide. Il s’appuie sur des documents fournis par l’entreprise, des entretiens avec le personnel, des sources ouvertes et l’analyse des régulateurs. Il mentionne également une limite importante: les régulateurs n’ont pas reçu tous les documents demandés, y compris certains journaux internes d’incident et le rapport d’investigation forensique, 23andMe ayant invoqué le secret professionnel juridique. Cela n’invalide pas les conclusions, mais signifie que le rapport est inhabituellement détaillé sans pour autant constituer une divulgation complète du dossier forensique sous-jacent. (Rapport d’enquête conjoint Canada-Royaume-Uni)

Le blog de l’entreprise, ses documents financiers déposés auprès de la SEC, le rapport des régulateurs, l’accord transactionnel approuvé par le tribunal et la plainte ultérieure répondent à des questions différentes. Ils devraient se corroborer dans la mesure du possible, mais il ne faut pas les forcer à s’inscrire dans un récit unique sans aspérités. Le passage de l’estimation initiale de 0,1 % au chiffre ultérieur de 18 222 comptes fourni par les régulateurs en est un bon exemple: il reflète la date de déclaration, l’évolution des preuves et la méthode de comptage.

Cela ne permet pas de qualifier un chiffre de mensonge simplement parce que l’autre est venu plus tard.

Avril à octobre 2023: l’attaque dans le temps

Avant avril: des comptes sensibles avec une protection optionnelle

Au moment de l’incident, les clients pouvaient se connecter avec une adresse e-mail et un mot de passe. L’authentification multifacteur par application et l’authentification unique Apple ou Google étaient disponibles mais facultatives. L’enquête conjointe a révélé qu’environ 78 % des clients n’utilisaient ni MFA ni SSO; seuls 0,2 % utilisaient l’authentification multifacteur par application proposée. Les comptes employés accédant aux informations de l’entreprise étaient soumis à une MFA ou SSO obligatoire, tandis que les comptes clients ne l’étaient pas.

Cette asymétrie est importante. L’infrastructure interne était considérée comme nécessitant un deuxième facteur, mais un compte grand public pouvait exposer des rapports de santé, des résultats d’ascendance, des informations de parenté et un moyen de demander les données de génotype brut avec un simple mot de passe. Les régulateurs ont également constaté que 23andMe n’avait pas simulé d’attaque par credential stuffing contre le service destiné aux clients et ne disposait d’aucun manuel d’intervention spécifique à ce type d’attaque. Ses tests d’intrusion étaient axés sur l’infrastructure back-end.

Une MFA optionnelle n’est pas une absence de contrôle. Les clients qui l’avaient activée bénéficiaient d’une protection significative, et les régulateurs ont précisé qu’aucun des comptes utilisant la MFA ou l’authentification unique Apple ou Google n’a été compromis par credential stuffing au cours de cette campagne. Mais une mesure de protection facultative fait reposer le risque d’adoption sur l’utilisateur, même lorsque le service a choisi de concentrer des données particulièrement sensibles et une visibilité inter-comptes.

La question pertinente n’est pas de savoir si la MFA figurait dans une page de paramètres, mais si le niveau d’assurance par défaut correspondait à ce qu’une session réussie pouvait accomplir.

Du 29 avril au 16 mai: la première période intense

La chronologie établie ultérieurement par les régulateurs situe la campagne entre le 29 avril et le 20 septembre 2023. Durant la première période intense, qui s’est terminée le 16 mai, 9 974 comptes ont été compromis avec succès. Le credential stuffing se distingue d’une attaque par force brute ciblant un seul compte: l’attaquant teste des paires nom d’utilisateur-mot de passe obtenues par d’autres violations ou sources, en espérant que certaines personnes les aient réutilisées. Une connexion réussie peut donc sembler ordinaire si la surveillance examine chaque compte isolément.

L’avantage économique penche en faveur de l’attaquant. Les corpus d’identifiants sont réutilisables d’un service à l’autre, les tentatives de connexion peuvent être réparties et l’automatisation transforme un faible taux de réussite en une campagne viable. Le service supporte les coûts des contrôles anti-bots, de la détection d’anomalies, des frictions pour les clients et du support. L’attaquant n’a besoin que d’un nombre suffisant de sessions réussies pour justifier ces coûts.

Dans le cas présent, chaque session réussie pouvait également ouvrir une vue sur des milliers de profils apparentés, rendant le retour attendu par identifiant valide bien supérieur au seul contenu du compte concerné.

Ce sont là les aspects économiques du point de contact abusif dans cet événement. Le premier contact de l’attaquant avec le service était une tentative de connexion. Un contact réussi se transformait en une session durable. La session devenait ensuite un canal de requête vers les profils partagés d’autres personnes. Chaque frontière restée peu coûteuse à franchir augmentait la valeur de l’extraction: une autre connexion, une autre page de correspondances, une autre demande d’arbre généalogique, un autre lot de données de profil. Les défenses devaient donc tarifer l’ensemble de la séquence, et non le seul contrôle du mot de passe.

6 juillet: un million de connexions et un plantage de la plateforme

Le 6 juillet, selon l’analyse des registres de connexion clients par les régulateurs, un programme informatique s’est connecté à un compte gratuit sans échantillon d’ADN plus d’un million de fois en une seule journée. L’activité a temporairement planté la plateforme et était liée à une tentative infructueuse d’initier des transferts de profils. L’événement était opérationnellement bruyant. Il était aussi structurellement pertinent: le transfert de profil est un moyen de déplacer la gestion d’un profil génétique entre différents comptes.

23andMe a enquêté et pris des mesures contre les transferts non autorisés, mais n’a pas fait le lien avec la campagne plus large de credential stuffing. Un plantage de plateforme n’est pas automatiquement une preuve de violation; les incidents de disponibilité peuvent avoir de multiples causes. Cependant, dans ce contexte, c’était un signal qu’un flux de travail authentifié était automatisé à un volume exceptionnel.

Le manquement en matière de responsabilité identifié par les régulateurs n’était pas l’absence d’inférence de toute la campagne à partir d’un seul graphique, mais le fait de ne pas avoir combiné cette anomalie avec les événements qui ont suivi.

Du 28 au 30 juillet: environ 400 tentatives de transfert

Fin juillet, l’acteur a tenté d’automatiser des transferts de profils impliquant environ 400 comptes. 23andMe a désactivé les demandes de transfert, verrouillé temporairement les comptes potentiellement concernés, exigé la réinitialisation du mot de passe pour ces clients et ajouté une alerte en cas de volume de transfert anormal. Son enquête interne a conclu que des informations limitées avaient été consultées dans 19 comptes clients américains.

Cette réponse montre que l’entreprise pouvait agir de manière ciblée et rapide sur un flux de travail identifié. Elle a également mis en évidence une faiblesse dans le contrôle des mots de passe: un client pouvait réinitialiser un compte avec un mot de passe précédemment utilisé. 23andMe a modifié ce comportement en août. Mais l’enquête n’a pas identifié qu’une attaque plus large avait déjà compromis des milliers de comptes. Le contrôle était limité au symptôme — l’abus des transferts — et non au système d’accès aux comptes et d’aspiration qui l’entourait.

10 août: une revendication rejetée comme un canular

23andMe a ensuite reçu des messages sur son portail client d’un individu prétendant détenir des données sur plus de 10 millions de clients, pour un total de 300 téraoctets. Un employé a également noté une publication similaire sur Reddit sous le même nom. L’équipe de sécurité a enquêté et classé la revendication comme un canular.

Ce chiffre est une affirmation de l’attaquant, pas une mesure confirmée, et doit rester qualifié comme tel. Les régulateurs n’ont pas validé ultérieurement les 300 téraoctets ni le vol de 10 millions de clients. Leur constat portait sur la qualité de l’enquête: les signalements de violation étaient rares pour l’entreprise, et celui-ci est survenu après le plantage de juillet et les tentatives de transfert. Considérés collectivement, ces événements justifiaient une enquête plus approfondie. Le rapport conclut qu’une enquête plus poussée en août aurait pu révéler la campagne avant la deuxième période intense.

Ce point est important pour la gestion des signalements d’abus. Une boîte de réception peut être inondée de revendications invraisemblables, de tentatives d’extorsion, de rapports de chercheurs, de plaintes de clients et de bruit. Traiter chaque message comme vrai est impossible. Traiter le tri comme la décision finale est également dangereux. Les services à fort enjeu ont besoin d’une règle d’escalade combinant la nouveauté de la revendication, les artefacts fournis par le demandeur, les anomalies contemporaines et les chemins d’attaque connus.

Le coût pour un abuseur de soumettre une revendication peut être quasi nul; le coût d’une enquête forensique complète ne l’est pas. La gouvernance détermine quand suffisamment de signaux indépendants justifient de payer ce coût.

Septembre: la deuxième période intense

L’acteur a repris un credential stuffing intense en septembre et a compromis 4 364 comptes supplémentaires. Sur l’ensemble de la campagne, les régulateurs ont constaté deux distorsions visibles dans le ratio connexions réussies/échecs, en mai et en septembre. 23andMe disposait d’outils capables de détecter l’attaque, mais ils n’étaient pas configurés pour alerter sur ce type de schéma. Le paramétrage des seuils était en grande partie manuel, et l’entreprise n’utilisait pas les informations disponibles sur les appareils, navigateurs et réseaux pour créer des empreintes numériques permettant de signaler les accès clients suspects.

Ce constat est plus précis que de dire que le service n’avait aucune surveillance. Il disposait d’un pare-feu applicatif web, de règles basées sur l’IP, de défis, de limites de débit, d’une fonction d’opérations de sécurité, d’outils SIEM et d’un programme de bug bounty. La défaillance réside dans le fait que l’ensemble des contrôles ne modélisait pas l’attaque telle qu’elle s’est produite. Une campagne distribuée peut contourner les simples limites par IP. Des identifiants corrects peuvent éviter les verrouillages par échec de connexion sur les comptes qui comptent.

L’aspiration après connexion peut ressembler à une utilisation enthousiaste du produit si le système ne mesure pas le parcours du graphe, la répétition des requêtes, la vélocité des sessions et la portée agrégée des relations.

Du 1er au 10 octobre: découverte externe et premier confinement

Le 1er octobre, l’acteur a mis en vente les données volées sur Reddit. 23andMe a confirmé le 5 octobre que l’incident était authentique et annoncé le 6 octobre que des informations de profils avaient été consultées sans autorisation. Sa première communication publique attribuait l’accès à la réutilisation d’identifiants et indiquait que des informations de profils DNA Relatives avaient pu être obtenues. (Mise à jour de 23andMe sur l’incident et le plan d’action)

Le confinement ne s’est pas fait en une seule étape. Le 9 octobre, quatre jours après la confirmation, 23andMe a invalidé les sessions actives. Le 10 octobre, elle a envoyé un e-mail à tous les clients, exigé une réinitialisation globale des mots de passe et encouragé l’activation de la MFA. L’entreprise a déposé son premier rapport auprès de l’ICO le 15 octobre et auprès du régulateur canadien le 18 octobre, après que le bureau canadien en a fait la demande. Les premiers rapports aux régulateurs faisaient état de 1 103 647 personnes concernées dans le monde; des compléments fin octobre ont porté ce chiffre à 5 621 179.

Cet enchaînement met en évidence l’importance du contrôle des sessions. Changer un mot de passe ne met pas nécessairement fin à une session déjà authentifiée. Un plan de réponse doit séparément invalider les jetons, révoquer ou renouveler d’autres identifiants, bloquer les exportations à haut risque, préserver les preuves et identifier les consultations ultérieures. Les régulateurs ont estimé que quatre jours étaient trop longs pour désactiver toutes les sessions et imposer la réinitialisation après la confirmation d’un événement de la plus haute priorité concernant les données clients.

Novembre 2023 à janvier 2024: connexion renforcée, notification plus lente

Le 2 novembre, 23andMe a désactivé le téléchargement en libre-service des données d’ADN brutes. La fonction a été rétablie le 27 février 2024 avec une vérification supplémentaire basée sur la date de naissance. Les régulateurs ont remis en question l’utilisation de la date de naissance comme authentifiant fort, car elle peut être publique ou présente dans d’autres violations, tout en évaluant les mesures de protection ultérieures de l’entreprise dans leur ensemble plutôt qu’en considérant cette seule étape comme suffisante.

Le 9 novembre, le service a rendu la vérification en deux étapes par e-mail obligatoire pour les clients qui n’utilisaient pas la MFA par application ou l’authentification unique. Le dépôt modifié auprès de la SEC date cette exigence de début novembre et confirme que les nouveaux utilisateurs et les utilisateurs existants devraient utiliser la vérification en deux étapes à l’avenir. La MFA par application existait déjà et aurait pu être rendue obligatoire plus tôt; 23andMe a plutôt développé une méthode par e-mail moins contraignante.

Les régulateurs ont conclu que cela avait laissé les comptes exposés plus longtemps que nécessaire, tout en reconnaissant, à la fin de 2024, que l’ensemble des contrôles remédiés était approprié.

Les notifications se sont poursuivies par couches. Les personnes dont les informations de DNA Relatives avaient été publiées ou dont l’accès était avéré ont reçu des avis en octobre. Certaines clarifications concernant uniquement les arbres généalogiques ont suivi en décembre. Les personnes dont les comptes avaient été directement compromis par credential stuffing n’ont été informées de ce fait qu’en janvier 2024, soit près de trois mois après la confirmation et plus d’un mois après que l’entreprise a déclaré son enquête forensique terminée.

Le rapport conjoint a relevé des omissions dans les avis aux régulateurs et aux personnes concernées, notamment l’exposition possible de l’ADN brut, la période d’attaque, la mise en vente d’informations et certains champs de compte.

Compter les comptes, les profils et les personnes

L’incident n’a pas de chiffre unique honnête, sauf si l’unité et la date l’accompagnent.

Environ 0,1 %, soit à peu près 14 000 comptes:il s’agit de la description donnée par l’entreprise début décembre 2023 concernant les comptes directement touchés par le credential stuffing. Ce pourcentage figurait dans le formulaire 8-K modifié. Les articles de l’époque l’ont traduit en environ 14 000 sur la base de la population de clients du service.

18 222 comptes directement consultés:il s’agit du total mondial que 23andMe a fourni par la suite à l’enquête conjointe Canada-Royaume-Uni en juillet 2024: 769 au Canada et 611 au Royaume-Uni. C’est le chiffre le plus élaboré concernant les comptes directement touchés dans le dossier réglementaire public.

5 497 376 profils DNA Relatives et 1 468 791 profils Family Tree:il s’agit des décomptes mondiaux par groupe de champs communiqués ultérieurement aux régulateurs. Le rapport indique que les groupes DNA Relatives et Family Tree s’excluaient mutuellement, alors que les populations DNA Relatives et rapports d’ascendance se recoupaient. Le formulaire 10-K de l’exercice 2024 de l’entreprise a arrondi ces catégories à environ 5,5 millions de profils DNA Relatives et 1,5 million de profils Family Tree. (Formulaire 10-K de 23andMe pour l’exercice 2024)

6 984 430 clients concernés dans le monde:23andMe a communiqué ce total au régulateur canadien le 4 décembre 2023, dont 319 635 au Canada. Le rapport conjoint parle généralement de près de sept millions de clients concernés. L’accord transactionnel collectif américain a par la suite retenu environ 6,4 millions de résidents américains pour le périmètre du groupe.

Ces chiffres décrivent des populations imbriquées et qui se croisent, pas quatre nombres à additionner. Un titulaire de compte directement consulté pouvait aussi avoir un profil DNA Relatives. Une personne pouvait posséder à la fois des informations d’ascendance et un profil de relations. Un profil Family Tree pouvait concerner le titulaire du compte ou une autre personne représentée dans l’arbre. La précision exige un schéma: personne, compte, profil génétique, enregistrement de relation, nœud d’arbre généalogique, rapport et fichier téléchargé sont des objets différents.

Le décompte relatif à l’ADN brut est encore plus circonscrit. En juillet 2024, 23andMe a signalé 18 téléchargements d’ADN brut dans le monde et 49 cas où l’ADN brut a été consulté ou parcouru. Les régulateurs ont identifié des faiblesses dans la méthode forensique, notamment l’absence des journaux originaux du fournisseur cloud et un journal personnalisé mal configuré. En avril 2025, après une analyse complémentaire, 23andMe a révisé à quatre le nombre de téléchargements d’ADN brut attribués à l’acteur dans le monde, aucun au Canada ni au Royaume-Uni. Les régulateurs n’ont pas vérifié cette révision de manière indépendante.

La conclusion correcte n’est pas que l’ADN brut de sept millions de personnes a été téléchargé. Le dossier ne le confirme pas. Ce n’est pas non plus qu’aucun ADN brut n’a été impliqué. La position ultérieure de l’entreprise faisait état de quatre téléchargements attribués, tandis que les régulateurs documentaient une incertitude méthodologique. C’est exactement là qu’un article forensique doit s’arrêter à la frontière de la preuve.

Ce qu’une session réussie pouvait révéler

Les données doivent également être ventilées par chemin d’accès.

Pour uncompte directement consulté, les champs accessibles pouvaient inclure le nom complet, la date de naissance, le sexe à la naissance, le genre, l’adresse e-mail, le pays et le code postal, la taille et le poids; les rapports d’ascendance; les rapports de santé; les conditions de santé autodéclarées; et les informations de génotype brut. Cela ne signifie pas que chacun des 18 222 comptes contenait tous ces champs, ni que tous les champs disponibles ont été téléchargés. Le rapport conjoint fournit un décompte plus spécifique de 8 217 comptes compromis pour lesquels des rapports de santé étaient associés, et 63 pour des conditions de santé autodéclarées.

Pour unprofil DNA Relatives connecté, les informations exposées étaient plus restreintes, mais néanmoins sensibles: noms ou noms d’affichage, année de naissance et localisation autodéclarées, photo de profil, race ou origine ethnique, lien de parenté prédit, pourcentage d’ADN partagé, segments correspondants et, éventuellement, des informations d’ascendance et d’arbre généalogique. C’est là le multiplicateur. L’acteur a consulté ces enregistrements par l’autorité des comptes directement compromis.

Pour lesprofils Family Tree, le dossier concerne les informations représentées dans les arbres généalogiques liés. Un nœud d’arbre généalogique ne doit pas être assimilé à un client unique du service ou à un enregistrement génétique brut. Le produit peut décrire des liens de parenté et une lignée sans que chaque personne représentée soit un titulaire de compte testé.

Pour lesannonces de l’attaquant, le fait d’une offre ou d’une publication ne valide pas toutes les étiquettes apposées par le vendeur. Les régulateurs ont constaté que certaines données avaient été mises en vente et que les avis aux personnes concernées auraient dû divulguer ce fait. La plainte californienne de 2026 contient des allégations supplémentaires concernant des listes ciblées, une négociation de rançon, des vulnérabilités de produits et des déclarations de l’entreprise. Ces allégations sont graves, mais à la date de publication, la plainte est un acte introductif d’instance, pas un jugement. Elle doit être citée comme l’argumentation de l’État, et non convertie en fait établi. (Plainte et annonce du procureur général de Californie)

Cette séparation protège les personnes concernées de deux erreurs à la fois: minimiser la divulgation non autorisée d’ascendance et de liens de parenté sous prétexte que ce n’était pas toujours un fichier brut, et exagérer l’événement en affirmant que les génomes complets de sept millions de personnes ont été dérobés. Les deux déforment la responsabilité.

La conception du produit a rendu ce ratio possible

Le but du produit était la connexion. DNA Relatives créait de la valeur en montrant aux clients un large ensemble de correspondances et suffisamment de contexte pour reconnaître des liens familiaux. Les contrôles de sécurité ne pouvaient pas simplement éliminer toute visibilité partagée sans désactiver la fonctionnalité. Ils pouvaient en revanche régir le degré d’autorité accumulé par une session et la vitesse à laquelle elle pouvait exercer cette autorité.

Cinq questions de conception en découlent au moins.

Premièrement,un graphe de relations doit-il être également visible immédiatement après chaque connexion?Un nouvel appareil, une localisation inhabituelle ou un compte récemment récupéré pourrait bénéficier d’une vue réduite jusqu’à une authentification renforcée. L’objectif n’est pas de cacher les propres résultats d’une personne, mais de distinguer l’accès personnel de l’accès en masse aux profils d’autres personnes.

Deuxièmement,quelle est la portée maximale utile d’une session?Un produit peut calculer des milliers de correspondances, mais il n’a pas besoin de les fournir à la vitesse d’une machine ni d’exposer les mêmes champs par tous les points de terminaison. La pagination, les budgets par session, la divulgation progressive et les exportations limitées à un objectif précis peuvent augmenter le coût de l’extraction tout en maintenant une découverte normale utilisable.

Troisièmement,quelles requêtes révèlent des données de parenté?La télémétrie de sécurité doit comprendre le produit. Compter les requêtes HTTP est moins efficace que mesurer le nombre de profils uniques consultés, l’expansion des arbres généalogiques, la récupération des rapports d’ascendance, les requêtes sur les segments partagés et le parcours répété de nombreux comptes. Une attaque peut rester sous un seuil de requêtes générique tout en violant tous les schémas normaux d’utilisation des relations.

Quatrièmement,quel consentement s’applique après la compromission du compte de l’observateur?Une personne a choisi de partager avec des parents génétiques utilisant le service, pas avec quiconque peut présenter le mot de passe d’un parent. Le consentement ne peut pas authentifier l’observateur. La plateforme doit faire respecter les conditions dans lesquelles le choix de partage reste significatif.

Cinquièmement,une personne connectée peut-elle voir ou révoquer le chemin d’exposition?L’historique des événements du compte aide le client directement concerné, mais un proche dont le profil a été consulté via la session de quelqu’un d’autre n’a pas de journal de session naturel qui lui soit propre. Le service a donc besoin d’une analyse d’incident et d’une notification tenant compte du graphe. Il doit pouvoir répondre non seulement à la question de savoir quels comptes ont été pénétrés, mais aussi quels autres profils chaque session hostile a atteints.

C’est ici que la minimisation des données devient un contrôle opérationnel. Supprimer une localisation, une année de naissance ou un nom de famille facultatifs des vues de relations par défaut peut réduire les conséquences sans abolir les correspondances. Séparer la découverte de profils des rapports d’ascendance détaillés peut créer une frontière de renforcement. Limiter les profils anciens ou inactifs peut réduire la portée conservée. Ce sont des choix de conception de produit, pas des leçons sur les mots de passe.

Les paramètres par défaut de l’AMF et le devoir partagé pour les mots de passe

Les clients ne devraient pas réutiliser leurs mots de passe. La réutilisation permet à une violation sur un service de devenir une clé pour un autre, et l’attaquant reste responsable de son utilisation. Mais la faute du client n’épuise pas la responsabilité de la plateforme. Les services savent que la réutilisation des identifiants est suffisamment courante pour être un modèle de menace standard. La Federal Trade Commission (FTC) des États-Unis avertissait dès 2017 que les entreprises protégeant des comptes sensibles devaient combiner des techniques d’authentification, car les attaquants automatisent l’utilisation d’identifiants volés à grande échelle. (Guide de la FTC sur les mots de passe sécurisés et l’authentification)

La responsabilité de 23andMe était renforcée par la portée de la session. Le client directement concerné mettait son propre compte en danger par la réutilisation; il ne configurait pas le produit pour exposer jusqu’à des milliers de correspondances. Les proches connectés n’avaient pas du tout choisi le mot de passe compromis. L’entreprise était le seul acteur capable de rendre une authentification plus forte obligatoire sur l’ensemble du service.

Les régulateurs ont identifié trois lacunes préventives: l’AMF obligatoire, la vérification des mots de passe compromis et une force minimale des mots de passe. Le dossier sur la vérification des mots de passe était incohérent en interne. Une réponse indiquait que l’entreprise ne vérifiait pas par rapport aux ensembles de données compromises; un entretien disait qu’elle vérifiait par rapport à 20 000 mots de passe fréquemment réutilisés issus d’un ensemble de données de 2021. Les deux versions étaient bien plus étroites qu’une vérification continue par rapport à un vaste corpus.

Les recommandations techniques actuelles préconisent des contrôles en couches. La norme NIST SP 800-63B demande de vérifier les mots de passe proposés par rapport à des listes de valeurs communes, attendues ou compromises, et de mettre en place une limitation de débit efficace; elle précise clairement que les mots de passe ne résistent pas à l’hameçonnage. (NIST SP 800-63B) Le guide de l’OWASP sur la prévention du credential stuffing ajoute l’AMF contextuelle, les signaux basés sur l’appareil et la connexion, l’identification des mots de passe divulgués, la visibilité des événements utilisateur et des métriques globales sur les défenses. (Fiche de prévention du credential stuffing de l’OWASP) Ces références constituent des points de repère, pas la preuve qu’un seul contrôle aurait arrêté toutes les techniques.

La vérification obligatoire en deux étapes par e-mail était une amélioration significative par rapport à la connexion par mot de passe seul, mais ce n’est pas le facteur le plus fort possible. Si un compte e-mail partage le même mot de passe compromis, un attaquant peut atteindre les deux. Les authentificateurs par application et les méthodes résistantes à l’hameçonnage peuvent fournir une séparation plus forte. Une conception mature peut associer une base obligatoire largement accessible avec des options plus fortes, un renforcement basé sur le risque et une récupération durcie.

Elle doit mesurer l’adoption et les voies de contournement, pas simplement annoncer qu’une fonctionnalité existe.

Le scraping est un événement de sécurité lorsque l’authentification réussit

Le credential stuffing n’a réussi qu’occasionnellement par rapport au total des tentatives, mais l’aspiration ultérieure a rendu ces succès précieux. Cela transforme la détection, qui passe d’un problème de connexion à un problème de comportement de session.

Les régulateurs ont constaté qu’aucune alerte n’avait été déclenchée en cinq mois, malgré des milliers de comptes compromis. Ils ont pu identifier les périodes d’attaque de mai et septembre grâce au ratio connexions réussies/échecs. Ils ont également constaté que 23andMe détenait les données sur les appareils, les navigateurs et les réseaux nécessaires à la création d’empreintes numériques, mais ne les utilisait pas à cette fin, invoquant ses autres contrôles et des préoccupations liées à la vie privée.

Ce compromis mérite réflexion. La création d’empreintes numériques peut devenir un suivi intrusif si elle est collectée sans limites ou réutilisée à des fins publicitaires. La réponse n’est pas une surveillance illimitée au nom de la sécurité. C’est la limitation des finalités: collecter les signaux minimaux nécessaires, définir la durée de conservation, isoler la télémétrie antifraude du marketing, assurer la transparence, restreindre l’accès et tester l’efficacité.

Le coût en matière de vie privée d’un contrôle doit figurer dans l’étude de conception; il en va de même du coût en matière de vie privée de laisser des millions de profils connectés susceptibles d’être aspirés.

Le service a également besoin de contrôles agrégés. Une seule adresse IP n’est pas la seule unité utile. Les défenseurs peuvent évaluer les tentatives par source d’identifiants, famille d’appareils, bloc réseau, empreinte d’automatisation, cluster de session et schéma de consultation de profils. Ils peuvent fixer des budgets pour le nombre de proches uniques consultés, détecter un parcours uniforme, comparer le rythme de navigation à un comportement humain et exiger une vérification pour les exportations risquées. L’objectif n’est pas de prétendre à une détection parfaite des bots.

C’est de rendre l’extraction plus lente, plus bruyante et plus coûteuse, tout en produisant des preuves sur lesquelles un analyste peut agir.

Les aspects économiques du contact abusif s’appliquent également aux canaux de signalement. Une équipe de sécurité a besoin d’un moyen simple pour les clients et les chercheurs de signaler un comportement suspect, mais tout canal bon marché attire du bruit. Le tri doit préserver les artefacts, relier les signalements à la télémétrie et escalader sur la base de signaux combinés.

Le message d’août 2023 montre pourquoi le rejet d’une revendication ne peut pas être la fin du dossier: même une fausse revendication de volume peut pointer vers une véritable classe d’activité lorsque la plateforme a déjà planté sous l’effet de l’automatisation et constaté des centaines de tentatives de transfert suspectes.

Les notifications devaient suivre les personnes, pas les comptes

L’entreprise a notifié différents groupes entre octobre 2023 et janvier 2024, au fur et à mesure que son analyse évoluait. C’est compréhensible en principe: la portée d’un incident change, et une certitude prématurée peut induire en erreur. Les constatations réglementaires étaient plus spécifiques. Les avis d’octobre aux titulaires de profils connectés n’indiquaient pas que certaines informations avaient été mises en vente. Les avis aux titulaires de comptes directement consultés sont arrivés plus tard et ne décrivaient pas systématiquement tous les champs des paramètres de compte ni la période d’attaque d’avril à septembre.

Les premiers rapports aux régulateurs omettaient la possibilité que l’ADN brut, les rapports de santé et d’ascendance dans les comptes compromis aient été touchés.

La conception des notifications a hérité du modèle de données du produit. Si le système d’intervention commence avec une liste d’identifiants de comptes compromis, il contactera naturellement les titulaires de comptes en premier. Mais le groupe le plus important touché était constitué de personnes dont les profils avaient été atteints via le compte de quelqu’un d’autre. Un processus de violation tenant compte du graphe nécessite un registre d’exposition: session hostile, compte source, point de terminaison consulté, profil connecté, champs disponibles, champs récupérés, date, juridiction et statut de notification.

Ce registre empêche également les notifications excessives. Une personne dont le nom d’affichage et le pourcentage d’ADN partagé ont été consultés doit recevoir un avis qui le précise, pas un avertissement générique laissant entendre qu’un fichier de génotype brut a été téléchargé. Un titulaire de compte directement consulté ayant accès à des rapports de santé a besoin d’un message différent. Une personne figurant dans un arbre généalogique qui n’est pas titulaire d’un compte peut nécessiter une voie juridique et pratique différente encore.

Le rapport conjoint a conclu que la violation franchissait les seuils de notification en vertu de la LPRPDE canadienne et du RGPD britannique. Il a également constaté des retards et des lacunes de contenu au regard de ces régimes. Le commissaire canadien a considéré que les mesures de protection améliorées réglaient la question des contrôles de sécurité, tandis que le régulateur britannique a infligé une amende de 2,31 millions de livres sterling pour des manquements concernant 155 592 utilisateurs britanniques et des infractions s’étendant jusqu’à la fin de 2024. (Décision d’exécution de l’ICO britannique contre 23andMe) La sanction pécuniaire ne constitue pas un prix global pour la violation; elle reflète les pouvoirs, la population et l’analyse juridique d’une seule autorité.

La localisation des données ne se limite pas à l’emplacement du serveur

Cet incident met en évidence trois types de localisation différents.

Localisation de stockage: il s’agit de savoir où les informations personnelles, les échantillons, les journaux et les sauvegardes sont détenus physiquement ou contractuellement. Elle est importante pour les mécanismes de transfert, l’accès gouvernemental, le risque lié aux fournisseurs et les attentes des clients. Mais aucune preuve examinée ne montre que le simple fait de déplacer le même produit inchangé vers un serveur dans un autre pays aurait empêché des identifiants réutilisés valides d’ouvrir les mêmes profils.

Localisation de l’accès: il s’agit de savoir où l’autorité est appliquée. Dans ce cas, la frontière décisive était logique: une session client réussie pouvait atteindre des profils connectés. Une authentification plus forte, un risque de session plus élevé, des limites de requêtes et une autorisation au niveau du profil auraient modifié cette localisation même si chaque octet était resté dans la même installation.

Localisation juridique: il s’agit de savoir quelle loi et quel régulateur s’appliquent à la personne, au responsable de traitement, au traitement et au transfert. Les autorités canadiennes et britanniques ont pu enquêter conjointement sur une entreprise américaine parce que des résidents canadiens et britanniques étaient concernés et que leurs lois respectives s’appliquaient. Leur rapport fournit des décomptes nationaux séparés, des obligations de notification distinctes et des conclusions séparées. La coordination a réduit la duplication des enquêtes factuelles, mais elle n’a pas fusionné la LPRPDE et le RGPD britannique en une seule loi.

La déclaration de confidentialité actuelle de l’entreprise distingue les informations génétiques, les informations sur les échantillons, les informations autodéclarées, les données de compte et les choix de partage, et fournit des droits et contacts spécifiques à chaque région. Elle précise également que la suppression du compte déclenche le retrait de la recherche et la destruction des échantillons, sous réserve des limites indiquées. La politique actuelle est utile pour évaluer les engagements présents, mais elle ne prouve pas ce que chaque client comprenait en 2023, ni que les contrôles historiques ont fonctionné comme promis. (Déclaration de confidentialité actuelle de 23andMe)

La faillite a rendu la localisation juridique tangible. 23andMe Holding Co. et ses filiales ont déposé une requête de mise sous le chapitre 11 en mars 2025. Le président de la FTC a averti le syndic américain que toute vente ou transfert d’informations sensibles (génétiques, échantillons, santé et relations de parenté) devait respecter les promesses faites en matière de confidentialité, de choix et de suppression. (Lettre de la FTC concernant la faillite de 23andMe) Les régulateurs canadiens et britanniques ont écrit séparément aux responsables américains au sujet des obligations envers les personnes relevant de leurs juridictions. (Lettre conjointe Canada-Royaume-Uni sur la vie privée dans le cadre de la faillite)

En juillet 2025, la vente de la quasi-totalité des actifs d’exploitation, approuvée par le tribunal des faillites, a été finalisée avec le TTAM Research Institute, ultérieurement appelé 23andMe Research Institute, pour 305 millions de dollars. L’acheteur s’est engagé à respecter les choix existants en matière de confidentialité, de suppression et de retrait des recherches; à restreindre certains transferts futurs à des entités nationales qualifiées adoptant les mêmes politiques; à créer un comité consultatif sur la vie privée; et à rendre compte des procédures de confidentialité. Le dépôt auprès de la SEC confirme la finalisation, tandis que les documents relatifs à l’achat d’actifs décrivent les mesures de protection. (Formulaire 8-K de finalisation de la vente de 23andMe)

Ces conditions démontrent que la gouvernance des données peut survivre en tant qu’obligation à travers un changement de propriétaire, plutôt que de voyager comme un actif sans restriction. Elles n’érigent pas la géographie en garantie complète et n’effacent pas les contestations sur la question de savoir si le consentement individuel était légalement requis pour le transfert. Des procureurs généraux d’État ont contesté la vente proposée; les clients ont été informés des options de suppression et de destruction des échantillons; la transaction a néanmoins été finalisée sous l’autorité du tribunal et selon des conditions négociées.

La leçon n’est pas que la faillite annule automatiquement les promesses de confidentialité, ni qu’une politique de confidentialité peut régler toutes les questions liées aux créanciers et aux lois des États. C’est que les conditions de gestion responsable, la capacité de suppression et les droits spécifiques à chaque juridiction doivent être conçus avant la détresse, lorsque les preuves et le personnel sont plus solides.

Les coûts mesurent des choses différentes

23andMe a déclaré 4,6 millions de dollars de dépenses liées à l’incident pour l’exercice 2024, compensées par 2,8 millions de dollars de recouvrement probable d’assurance, principalement pour des consultants en technologie, des frais juridiques et d’autres conseillers. Il s’agit des coûts de réponse de l’entreprise, pas d’une évaluation du préjudice subi par les clients.

Les litiges privés ont produit un autre ensemble de chiffres. Un projet d’accord transactionnel collectif américain a débuté avec un fonds non réversible de 30 millions de dollars et s’est inscrit dans la procédure de faillite. La structure finale prévoyait un fonds d’au moins 30 millions de dollars, pouvant atteindre 50 millions de dollars, des catégories d’indemnisation en espèces pour les réclamations éligibles et cinq ans de surveillance de la protection de la vie privée, des données médicales et génétiques. Le tribunal des faillites a accordé l’approbation finale le 30 janvier 2026. Le site officiel de l’accord transactionnel indique que le groupe concerne environ 6,4 millions de résidents américains, que la date limite de réclamation en espèces est passée et que la distribution est en attente de la conciliation de la faillite. (Site officiel de l’accord transactionnel sur les données de 23andMe)

L’accord transactionnel règle les actions privées et libère les réclamations couvertes selon ses termes. Il ne constitue pas une constatation judiciaire que toutes les allégations étaient vraies, et les avantages de l’accord ne sont pas la preuve qu’un demandeur a subi une utilisation abusive génétique particulière. L’étiquette de surveillance ne doit pas être confondue avec une capacité technique à inverser une exposition. Il s’agit d’un avantage de service défini et d’un mécanisme de soutien au risque.

Le formulaire 10-K de l’exercice 2025 décrivait 37,5 millions de dollars d’engagements globaux pour les règlements collectifs, d’arbitrage et des tribunaux d’État tels qu’ils étaient structurés à l’époque, ainsi que l’exposition aux litiges et à la réglementation. Ce dépôt est antérieur aux ajustements finaux de la faillite et à l’approbation, et ne doit donc pas être substitué à la description ultérieure du fonds administré par le tribunal. Il reste une preuve utile de la manière dont de multiples canaux de contestation se sont accumulés autour d’un seul incident. (Formulaire 10-K de 23andMe pour l’exercice 2025)

L’amende britannique mesure une infraction de droit public pour une juridiction et une période définies. La plainte californienne de 2026 est une autre action publique coercitive, alléguant des manquements au Genetic Information Privacy Act, au California Consumer Privacy Act, à la loi sur la sécurité raisonnable et aux lois sur la protection des consommateurs. Elle allègue également des faits au-delà du rapport conjoint de 2025. Ceux-ci restent des allégations tant qu’ils ne sont pas admis ou prouvés.

L’accord transactionnel privé, la sanction réglementaire, le recouvrement d’assurance et le produit de la vente dans le cadre de la faillite appartiennent à des colonnes séparées; les additionner en un seul « coût de la violation » produirait un total financièrement net mais juridiquement dénué de sens.

Les mesures correctives sont devenues suffisamment spécifiques pour être testées

Au 31 décembre 2024, 23andMe a informé les enquêteurs canadiens et britanniques qu’elle avait mis en œuvre un ensemble plus large de contrôles. Les régulateurs ont accepté ces mesures dans leur ensemble comme suffisantes pour répondre aux préoccupations en matière de garanties qu’ils avaient identifiées, et le régulateur britannique a considéré que l’entreprise satisfaisait aux exigences de sécurité pertinentes à partir de cette date. Il s’agit d’une conclusion favorable significative, avec une limite: elle ne certifie pas une efficacité perpétuelle après un changement de propriétaire et d’organisation.

Les changements signalés comprenaient un mot de passe minimum de 12 caractères, une vérification par rapport à un corpus beaucoup plus vaste de mots de passe compromis lors de l’inscription, de la connexion et de la réinitialisation, une vérification obligatoire en deux étapes par e-mail, des protections autour du téléchargement des données brutes et des données de santé, un délai de 48 heures avant la livraison de l’ADN brut, des exercices de simulation de credential stuffing, une surveillance révisée, plus de 253 nouvelles alertes SIEM, une surveillance des sessions basée sur le comportement, une surveillance du dark web, une fonction de

navigateur de confiance et un historique des événements de compte téléchargeable.

La gouvernance produit, sécurité et ingénierie a également été renforcée.

Un inventaire de contrôles n’est pas la même chose qu’un résultat de contrôle. La prochaine étape utile consiste à demander des preuves sans exiger de détails exploitables.

Le délai de 48 heures illustre une bonne friction lorsqu’il est associé à une notification sécurisée et à une annulation: il prive une session hostile d’une extraction instantanée et donne au véritable utilisateur le temps de réagir. Mais un délai sans canal de contact fiable ne fait que reporter la perte. Une vérification par date de naissance peut ajouter une formalité tout en s’appuyant sur des informations déjà visibles ailleurs. Les contrôles doivent être évalués en tant que chaîne.

Il en va de même pour la vérification obligatoire en deux étapes par e-mail. Elle bloque probablement la version simple de cette campagne lorsque seul un mot de passe 23andMe est disponible. Elle est plus faible lorsque le compte e-mail est également compromis. Des facteurs plus forts devraient être encouragés pour tous les utilisateurs et requis pour les actions particulièrement importantes. La plateforme doit maintenir des chemins de récupération pour les personnes qui perdent leurs facteurs, sans permettre qu’une interaction avec le support devienne le contournement le plus facile.

Qui contrôlait quoi

L’acteur de la menacecontrôlait la décision de tester des identifiants volés, de pénétrer des comptes, d’automatiser des fonctions du produit, d’aspirer des profils et de publier ou proposer des informations. L’intention criminelle n’est pas transférée à l’entreprise simplement parce que les contrôles étaient faibles.

Les clients ayant réutilisé leurs identifiantscontrôlaient le choix de leur mot de passe entre différents services et auraient dû utiliser un mot de passe unique et l’AMF disponible. Leur responsabilité est réelle mais limitée. Ils ne contrôlaient pas la surveillance, l’autorisation des fonctionnalités, l’invalidation des sessions ni le nombre de proches visibles via leur compte.

Les proches connectés et les titulaires de profilscontrôlaient certains choix de partage et champs facultatifs. Ils ne contrôlaient pas la sécurité de chaque compte correspondant ni la décision de la plateforme d’accorder une large visibilité après une connexion par simple mot de passe. Opter pour une fonctionnalité n’équivaut pas à consentir à une automatisation hostile.

23andMecontrôlait la base d’authentification des clients, la vérification des mots de passe, la conception des sessions et des exportations, la visibilité des correspondances, la télémétrie, le tri des incidents, le calendrier de réponse, la cartographie des données et les avis. Elle a également choisi le modèle de sensibilité et pouvait comparer la protection des comptes employés avec celle des comptes clients. C’est pourquoi la responsabilité pratique repose le plus lourdement sur le service, même s’il n’est pas à l’origine de la réutilisation des identifiants.

Les régulateurs et les tribunauxcontrôlaient les recours dans le cadre de lois et de procédures spécifiques. Les commissaires canadiens et britanniques pouvaient formuler des conclusions sur les garanties et les avis pour leurs résidents. L’autorité britannique pouvait imposer sa sanction pécuniaire. Le tribunal des faillites pouvait approuver les conditions de vente et de règlement. La Californie peut plaider une affaire au niveau de l’État. Aucun n’a de compétence universelle sur tous les clients ou toutes les questions.

L’institution successeurcontrôle le service opérationnel et a hérité des engagements de gestion responsable après la vente d’actifs. L’ancienne société holding publique, renommée Chrome Holding Co., reste pertinente pour les distributions dans le cadre de la faillite et les litiges. Une dénomination claire est importante car les clients doivent savoir quelle entité exploite le produit, laquelle détient les données, laquelle doit les obligations de règlement et laquelle reçoit une demande de suppression.

Ce qui reste inconnu

Le dossier public ne comprend pas le rapport forensique complet, tous les journaux d’incidents, l’infrastructure hostile complète, la source exacte des identifiants, l’intégralité du code des points de terminaison ni l’historique complet des requêtes. Les régulateurs ont expressément noté les documents demandés manquants et les faiblesses de la journalisation des téléchargements d’ADN brut. Un compte rendu fiable doit conserver ces lacunes.

Il n’a pas été établi que le propre système de stockage des identifiants de 23andMe ait été violé. L’entreprise a constamment déclaré n’avoir trouvé aucune indication qu’elle avait fourni les paires nom d’utilisateur-mot de passe, et les régulateurs ont décrit une campagne de credential stuffing utilisant des identifiants volés lors d’autres incidents.

Il n’a pas été établi que près de sept millions de fichiers de génotype brut ou de rapports de santé ont été téléchargés. La population la plus importante concerne les informations de DNA Relatives, d’ascendance et de Family Tree. Les champs des comptes directs et les événements liés aux données brutes constituent des catégories distinctes et plus petites.

Il n’a pas été établi que chaque annonce de l’attaquant était exacte, qu’une motivation idéologique particulière a dirigé la sélection ou la commercialisation des enregistrements, ni que chaque enregistrement revendiqué était unique. Le fait que les informations aient été commercialisées en utilisant des catégories d’ascendance sensibles est important à noter pour l’évaluation des risques; la motivation et l’utilisation en aval nécessitent encore des preuves.

Il n’a pas été établi dans les documents examinés qu’une personne spécifique a subi une discrimination à l’emploi, un refus d’assurance, un préjudice médical, un ciblage par les forces de l’ordre ou un vol d’identité en raison de cet événement. Ce sont des préoccupations concevables concernant les données génétiques et d’identité, mais la possibilité n’est pas une constatation.

Il n’a pas non plus été établi que les mesures correctives resteront efficaces indéfiniment. Les régulateurs ont accepté les mesures combinées jusqu’à la fin de 2024. La faillite, les changements de personnel et le transfert vers un nouvel institut rendent une assurance continue particulièrement importante. Un contrôle qui a passé une revue peut se dégrader par un changement de configuration, une pression budgétaire ou un nouveau chemin produit.

La responsabilité commence à la frontière du compte d’autrui

L’incident a commencé avec des identifiants qui fonctionnaient. Il est devenu une exposition de masse parce que le service attachait plus d’autorité à ces identifiants qu’au propre dossier de la personne directement concernée. C’est la perspective de responsabilité qu’il convient de retenir au-delà de 23andMe.

Toute plateforme construite autour de foyers, d’équipes, de patients, d’étudiants, d’arbres généalogiques ou de graphes sociaux peut exposer une personne par la session d’une autre. Le bon dénominateur n’est donc pas le nombre de comptes compromis, mais le nombre de personnes et d’enregistrements accessibles depuis l’autorité compromise. Le bon contrôle n’est pas simplement une connexion plus forte, mais une connexion plus forte combinée à une portée de session limitée, une détection du scraping adaptée au produit, des preuves d’exportation fiables, un confinement rapide et une notification au niveau de la personne.

La souveraineté des données suit la même logique. Un serveur domestique ne crée pas de contrôle local si une session distante peut parcourir un graphe de relations mondial. Une politique de confidentialité ne préserve pas le choix si les obligations de suppression, de consentement et de transfert disparaissent lors d’une vente. La juridiction légale ne correspond pas parfaitement à l’architecture du système, de sorte que le service doit porter l’état de résidence, les droits et les notifications avec les données.

La conclusion la plus défendable est plus étroite que le titre le plus tapageur sur la violation et plus exigeante que la première explication de l’entreprise. La réutilisation des mots de passe a ouvert la porte. La conception du produit l’a élargie. La surveillance n’a pas réussi à reconnaître le passage répété. La réponse et la notification en ont refermé différentes parties à différentes dates. Les contrôles ultérieurs, les conclusions des régulateurs et les décisions de justice ont créé un dossier de responsabilité mesurable.

L’obligation restante est de prouver, en continu, que le compte d’une personne ne peut plus devenir une voie d’extraction à bas coût vers des milliers d’autres vies.