Violation de données 23andMe par credential stuffing

Le 6 octobre 2023, 23andMe — l'entreprise américaine de tests génétiques grand public — a confirmé publiquement que des attaquants avaient compromis des comptes clients par credential stuffing, en utilisant des identifiants réutilisés issus de fuites antérieures. Le nombre de comptes directement compromis était faible (environ 14 000), mais les attaquants ont exploité la fonctionnalité sociale DNA Relatives de 23andMe pour collecter des données de généalogie et de profils sur une population bien plus large : 6,9 millions d'utilisateurs, soit environ la moitié de la base clients totale de 23andMe.

L'incident est devenu le cas emblématique des cascades de réutilisation d'identifiants à travers les fonctionnalités de graphe social et a contribué au dépôt de bilan de 23andMe en mars 2025.

Ce qui s'est passé

23andMe est un service de tests génétiques en accès direct au consommateur. Les utilisateurs soumettent un échantillon de salive, reçoivent des rapports de généalogie et (historiquement) de risques de santé, et peuvent activer une fonctionnalité appelée DNA Relatives qui les met en relation avec d'autres utilisateurs de 23andMe partageant du matériel génétique — des proches biologiques que l'utilisateur connaissait ou non.

La fonctionnalité DNA Relatives, dans sa configuration de 2023, permettait par défaut aux utilisateurs de consulter une quantité substantielle d'informations de profil de leurs correspondances génétiques : noms, photos de profil, composition généalogique, estimations d'origines ethniques et informations géographiques partagées. Il s'agissait d'une fonctionnalité optionnelle, mais la plupart des utilisateurs l'avaient activée pour maximiser la valeur de découverte généalogique.

L'approche des attaquants :

1. Credential stuffing : test de paires d'identifiants issues de fuites antérieures (LinkedIn 2012, Adobe 2013, et d'autres) contre des comptes 23andMe. Environ 14 000 comptes ont été directement compromis sur plusieurs mois.
2. Exploitation de DNA Relatives : pour chaque compte compromis, collecte des informations de profil de toutes les correspondances génétiques du compte — généralement des dizaines à des milliers de profils de proches par compte compromis.
3. Agrégation : à travers les 14 000 comptes compromis, des données de profil concernant environ 6,9 millions d'utilisateurs uniques de 23andMe ont été capturées — soit environ la moitié de la base clients totale de 23andMe.

Point crucial, les attaquants n'ont pas exfiltré les données brutes de séquences génétiques — ces données ne sont pas accessibles via la fonctionnalité DNA Relatives. Mais les données de composition généalogique et ethnique de chaque proche étaient visibles et ont été capturées à grande échelle.

L'échantillon « Juifs ashkénazes »

Le 1er octobre 2023, un utilisateur d'un forum criminel utilisant le persona Golem a proposé à la vente un jeu de données échantillon d'environ 1 million de profils 23andMe étiquetés comme étant d'origine juive ashkénaze. Ce ciblage ethnique sélectif a été largement interprété comme un ciblage antisémite délibéré. Les annonces ultérieures se sont étendues à d'autres populations ethniques, puis enfin au jeu de données complet.

Le ciblage ethnique délibéré constituait une caractéristique distinctive de cette violation par rapport aux incidents de vol de données typiques. Le schéma de diffusion sélective des attaquants — se concentrant d'abord sur les échantillons d'origine juive ashkénaze et chinoise — a attiré une attention médiatique particulière et a ajouté une dimension de discrimination et de harcèlement au préjudice.

Périmètre des données génétiques

Nuance importante : les données brutes de séquences génétiques n'ont pas été exfiltrées. Les données exposées étaient :

• Informations de profil : noms, photos, lieux, dates de naissance.
• Composition généalogique : par exemple, « 32 % d'Europe du Nord-Ouest, 24 % d'Europe de l'Est, 18 % de Juifs ashkénazes ».
• Nom d'affichage et origine ethnique auto-déclarée.
• Suggestions de noms de famille partagés fournies par l'algorithme de 23andMe.

Bien qu'il ne s'agisse pas d'ADN brut, les données de composition généalogique et ethnique sont dérivées de données génétiques et sont traitées comme des informations personnelles sensibles dans la plupart des cadres de protection des données. L'exfiltration constitue donc une violation de données génétiques au sens réglementaire, même si les séquences d'ADN sous-jacentes ne figurent pas dans le jeu de données.

Impact

• 6,9 millions d'utilisateurs ont vu leurs données de profil et de généalogie exposées — soit environ la moitié de la base clients de 23andMe.
• Coût direct pour 23andMe : environ 30 M$ de règlement de recours collectif + environ 20 M$ de remédiation directe + un impact significatif lié à la perte de clients.
• Le dépôt de bilan de 23andMe au titre du chapitre 11 en mars 2025 a cité la violation et ses suites judiciaires parmi les facteurs contributifs, bien que les pressions financières préexistantes de 23andMe en aient été le moteur principal.
• La conclusion conjointe de l'ICO britannique et du Commissaire à la protection de la vie privée du Canada en juin 2025 selon laquelle la protection des données de 23andMe était inadéquate, assortie d'ordonnances de remédiation.
• Aucune action coercitive spécifique aux États-Unis à la fin de l'année 2024.

Pourquoi c'est important

23andMe est le cas emblématique des cascades de credential stuffing à travers les fonctionnalités de graphe social. Il a établi :

• Que le credential stuffing demeure un vecteur d'attaque majeur malgré des années d'avertissements sur la réutilisation de mots de passe. Les 14 000 comptes compromis appartenaient à des utilisateurs dont les identifiants étaient apparus dans des fuites antérieures et n'avaient pas été renouvelés.
• Que les fonctionnalités de graphe social amplifient considérablement l'impact d'une violation. Le nombre de comptes directement compromis (14 000) sous-estimait le périmètre de la violation d'un facteur de près de 500, car chaque compte compromis exposait des informations sur des centaines d'autres.
• Que les données dérivées de données génétiques — même sans séquences d'ADN brutes — constituent des informations personnelles sensibles nécessitant une protection renforcée.
• Que l'activation par défaut des fonctionnalités de partage de données est désormais considérée par les régulateurs comme une défaillance de conception en matière de confidentialité. Les paramètres par défaut de DNA Relatives — que la plupart des utilisateurs avaient conservés — exposaient des informations sur des personnes qui n'avaient aucun choix individuel en la matière (les paramètres de leurs proches déterminaient leur propre exposition).
• Que la viabilité des entreprises de tests génétiques grand public est désormais structurellement liée à leur posture de cybersécurité, d'une manière que le modèle économique d'origine des années 2010 n'avait pas anticipée. La faillite de 23andMe a découlé de multiples pressions cumulées, mais la cohorte de clients perdus après la violation a été importante.

Le cas a également catalysé l'attention réglementaire sur les données de tests génétiques grand public : les lois des États américains visant spécifiquement les données génétiques en accès direct au consommateur se sont multipliées après l'affaire 23andMe, et la FTC a engagé plusieurs actions coercitives contre des opérateurs de tests génétiques pour sécurité inadéquate.