Le procureur général Rob Bonta allègue que Chrome Holding Co., successeur de 23andMe, a ignoré des vulnérabilités connues et a trompé les consommateurs sur la gravité de la violation.
Anadolu / Getty Images
Procureur général de Californie, Rob Bonta a intenté un procès jeudi contre Chrome Holding Co., l'entreprise anciennement connue sous le nom de 23andMe, à propos d'une violation de données en 2023 qui a exposé les informations génétiques et personnelles de près de 7 millions d'utilisateurs à travers les États-Unis, dont 855 541 Californiens.
La plainte, déposée devant la Cour supérieure de San Francisco, allègue que 23andMe n'a pas mis en œuvre des mesures de sécurité raisonnables, a ignoré les vulnérabilités connues de ses systèmes et a trompé les consommateurs sur la gravité de la violation. Le procès affirme que la conduite de 23andMe a violé la loi californienne sur la confidentialité des informations génétiques, la loi sur la sécurité raisonnable des données, la loi sur la fausse publicité, la loi sur la concurrence déloyale et la loi californienne sur la protection des consommateurs.
Les attaquants ont pénétré en utilisant des identifiants de connexion recyclés récoltés lors d'incidents de sécurité antérieurs ailleurs sur le web — parmi eux une compromission antérieure de MyHeritage, une plateforme de généalogie qui avait précédemment collaboré avec 23andMe — réussissant finalement à pénétrer dans environ 14 000 comptes grâce à cette technique, connue sous le nom de bourrage d'identifiants. Ce qui rend cela particulièrement notable, selon la plainte, c'est que 23andMe non seulement connaissait l'incident de MyHeritage mais avait activement incité ses propres clients à créer des comptes sur cette plateforme — pourtant, elle n'a pris aucune mesure pour détecter ou empêcher la réutilisation de ces mêmes identifiants pour se connecter à 23andMe.
À partir de cette base initiale de 14 000 comptes compromis, l'attaquant a exploité une faille dans la fonctionnalité DNA Relatives — par laquelle les utilisateurs pouvaient se connecter avec des correspondances génétiques — pour atteindre et extraire des données appartenant à près de 7 millions de personnes au total. Les informations volées comprenaient des données génétiques brutes, des rapports d'ascendance, des prédispositions à la santé et des détails sur les parents biologiques. Plutôt que de détecter l'intrusion par sa propre surveillance, l'entreprise a lancé son enquête uniquement après avoir été confrontée à la demande de rançon de l'acteur menaçant et à l'apparition de fichiers volés mis en vente en ligne — à ce stade, l'attaquant se déplaçait librement dans ses systèmes depuis plus de cinq mois.
Parmi les autres allégations de la plainte figure le fait que 23andMe a engagé des négociations secrètes avec l'attaquant pour un paiement de rançon, tout en niant publiquement qu'un incident de sécurité s'était produit dans ses systèmes. Le jeu de données mis en vente était commercialisé avec des appels explicites aux acheteurs potentiels qu'il incluait des dossiers liés aux individus AAPI et juifs — un détail de ciblage que Bonta a signalé comme particulièrement alarmant, compte tenu des pics simultanés de crimes haineux dirigés contre ces communautés.
« 23andMe a collecté des données génétiques sur des millions de personnes, n'a pas respecté son obligation en vertu de la loi californienne de garder cette information en sécurité, puis a menti aux consommateurs sur la gravité de sa violation de données en 2023 », a déclaré Rob Bonta dans un communiqué.
La poursuite vise des sanctions civiles et des injonctions contre de nouvelles violations de la vie privée. Cette action civile se déroule parallèlement à une intervention distincte que Bonta a montée dans la procédure de faillite de l'entreprise, où il a cherché à empêcher le transfert des données génétiques des Californiens à tout acheteur issu du processus de Chapitre 11. Une affaire distincte en recours collectif intentée par les clients concernés a été résolue lorsque le total du paiement a été augmenté à 50 millions de dollars — contre une somme initiale de 30 millions de dollars — avec un juge fédéral de la faillite signant ce montant final plus tôt cette année, selon ABC News.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
