23andMe répond à la violation avec de nouvelles conditions d’utilisation limitant l’utilisateur

Sécurité en bref La saga de la fuite de données massives de 23andMe a pris fin, la société affirmant que son enquête a révélé que des millions d’enregistrements fuyaient d’effractions illicites dans seulement 14 000 comptes. Dans une mise à jour publiée mardi dans un article de blog détaillant les attaques, 23andMe a déclaré que la fuite, rapportée pour la première fois en octobre, avait été rendue possible par le remplissage de données d’identification, grâce auquel un attaquant utilise des combinaisons nom d’utilisateur et mot de passe provenant d’autres violations pour tenter de violer des comptes non liés. En d’autres termes, ceux touchés étaient coupables du péché cardinal de la réutilisation du mot de passe et de l’absence de l’authentification multifactorielle. Les données volées, nous dit-on, ont été confirmées provenir des profils de « parenté génétique » qui indiquent comment les gens peuvent être apparentés, dont 5,5 millions de jeux de données ont été volés. Les données volées dans la brèche comprenaient des noms, des informations d’ascendance, des emplacements déclarés par les utilisateurs, des dates de naissance, des liens vers des arbres généalogiques et tout ce qui aurait pu être inclus dans les descriptions que les utilisateurs ont ajoutées à leurs profils. 1,4 million de jeux de données supplémentaires du service Family Tree ont également été volés, a déclaré 23andMe, ce qui inclut des informations similaires ainsi que des relations avec les individus dont les comptes ont été compromis.