Un hacker divulgue encore plusieurs millions de dossiers d’utilisateurs de 23andMe sur un forum cybercriminel

• Un hacker nommé Golem a divulgué sur BreachForums, un forum cybercriminel, plusieurs millions de dossiers supplémentaires d’utilisateurs de l’entreprise de tests génétiques 23andMe.
• Il s’agit de la deuxième fuite majeure touchant 23andMe ces dernières semaines ; le même hacker avait déjà divulgué auparavant un volume important de données d’utilisateurs.
• Le nouveau jeu de données divulgué contiendrait les dossiers de 4 millions d’utilisateurs, dont des personnes fortunées au Royaume-Uni, aux États-Unis et en Europe occidentale.
• 23andMe a reconnu cette fuite et vérifie actuellement l’authenticité des données.
• L’entreprise avait précédemment indiqué que la fuite initiale était due à une technique de credential stuffing utilisant des combinaisons de noms d’utilisateur ou d’adresses e-mail et de mots de passe provenant d’autres fuites de données.
• En réponse à ces fuites, 23andMe demande aux utilisateurs de changer leur mot de passe et d’activer l’authentification multifacteur.
• L’entreprise a lancé une enquête avec l’aide d’experts forensiques tiers.
• On ne sait toujours pas exactement combien de données d’utilisateurs ont été volées, ni comment les hackers comptent utiliser les données dérobées.
• Un hacker d’un autre forum cybercriminel, Hydra, avait auparavant affirmé détenir 300 téraoctets de données d’utilisateurs de 23andMe, mais cette affirmation n’a pas encore été confirmée.
• L’ampleur totale de la fuite reste inconnue, et le volume exact de données exfiltrées n’est pas clair.

[GN⁺]

Avis Hacker News

• Un article sur une violation de données chez 23andMe au cours de laquelle des dossiers de millions d’utilisateurs ont été divulgués sur un forum cybercriminel.
• 23andMe a imputé l’incident à la réutilisation des mots de passe et à une fonctionnalité optionnelle appelée DNA Relatives, qui permet aux utilisateurs de consulter les données d’autres utilisateurs présentant des correspondances génétiques.
• Les commentateurs ont critiqué 23andMe pour avoir blâmé ses clients, affirmant que l’entreprise aurait dû mettre en place de meilleures mesures de sécurité.
• Certains ont souligné que les options de partage du programme DNA Relatives manquaient de granularité et que la limite permettant de voir les 1 500 correspondances les plus proches a pu permettre à des pirates de collecter les données de la majorité des personnes présentes dans la base.
• D’autres ont dit regretter d’avoir utilisé 23andMe en raison de préoccupations liées à la vie privée et d’un manque de confiance dans les pratiques de traitement des données de l’entreprise.
• Certains commentaires ont également évoqué l’échec de l’entreprise à détecter une fuite de 300 To de données clients, que certains ont jugé comme de la négligence.
• Certains utilisateurs ont suggéré que 23andMe aurait dû imposer l’authentification à deux facteurs (2FA) ou utiliser Google Single Sign-On (SSO) pour renforcer la sécurité.
• Un petit nombre d’utilisateurs ont indiqué avoir utilisé de faux noms et des adresses e-mail jetables lorsqu’ils ont soumis leurs résultats à 23andMe.
• Il a aussi été fait mention d’incidents connexes et de poursuites liés à la violation de données chez 23andMe.