Après s'être mollement excusé pour la fuite de données en octobre dernier, 23andMe passe à l'offensive.
On ne parle pas d'un compte Netflix piraté. Lorsque des hackers ont récupéré les données génétiques de millions de personnes inscrites sur le site de généalogie, nombreuses ont été parmi ces dernières à se sentir menacées ou au minimum lésées. Et devant la pluie de procès qui s'annonce à l'horizon, le site a changé radicalement de stratégie, se montrant incroyablement cynique avec ceux qui sont tout de même ses clients.
Les données génétiques de près de 7 millions de personnes dans la nature…
Le premier décembre dernier, la société 23andMe, qui permet à ses utilisateurs de retrouver des proches et/ou ses origines grâce à son empreinte génétique, annonce que 14 000 comptes environ, soit 0,1 % de ses clients ont été piratés. Un problème sérieux, mais dont les implications n'auraient pas été aussi graves pour n'importe quelle autre entreprise. Car en plus de la nature des données récupérées, forcément très sensibles, le fonctionnement même du service proposé a permis à ces hackers de récupérer infiniment plus d'informations qu'ils n'auraient dues.
La faute à une fonctionnalité en particulier, DNA Relatives Feature, qui quand elle est activée par un utilisateur, partage automatiquement certaines de leurs informations avec ceux que le service considère comme leur proche, ce qui permet de les retrouver. Mais il se trouve qu'en matière d'ADN, on peut avoir beaucoup de proches. C'est ainsi que, de 14 000 profils compromis, la fuite de données s'est étendue à presque 7 millions de personnes au total, soit la moitié des clients du service.
Les avocats de 23andMe ont tenu à faire savoir que les informations très sensibles ainsi récupérées ne pouvaient nullement être utilisées pour faire pression ou demander de l'argent aux victimes, puisque ne comportant pas de numéro de sécurité sociale, d'informations de paiement, ou autres éléments permettant de les identifier.
Pour 23andMe, ils n'avaient qu'à faire plus attention
Les fuites de données personnelles plus ou moins sensibles sont tout sauf rares parmi les services comptant autant d'utilisateurs que 23andMe. Mais l'originalité de cette affaire, c'est que l'entreprise a rapidement réagi pour se couvrir autant que possible. C'est ainsi que quelques semaines après le hack, ses CGU ont connu une petite, mais notable modification… qui interdit ou du moins complique considérablement la possibilité à ses utilisateurs de tenter une action collective en justice contre le site.
Un changement cynique, qui n'a pas évité de nombreuses plaintes d'utilisateurs. Dans une lettre hors sol à l'un de ces groupes de plaignants, la société explique tout simplement que « des utilisateurs ont réutilisé des mots de passe compromis et ne les ont pas mis à jour après des incidents de sécurité qui ne sont pas liés à 23andMe […] cet incident n'est donc pas lié à de prétendues mauvaises mesures de sécurité de 23andMe ». L'entreprise a tout de même, et seulement depuis cet incident, imposé l'authentification à deux facteurs à tous ses utilisateurs.
En d'autres termes, pour 23andMe, si les 7 millions de victimes veulent intenter un procès, elles n'ont qu'à se tourner vers les 14 000 victimes initiales. On verra ce qu'en dira la justice.
Source : TechCrunch (1), TechCrunch (2)
