La société de tests génétiques 23andMe a été condamnée à une amende de plus de 2,3 millions de livres sterling pour avoir omis de protéger les informations personnelles de plus de 150 000 résidents britanniques après une cyberattaque à grande échelle en 2023.
Les arbres familiaux, les rapports de santé, les noms et les codes postaux figuraient parmi les données sensibles piratées de l’entreprise basée en Californie. Il n’a confirmé que les mois de violation après le début de l’infiltration et une fois qu’un employé a vu les données volées annoncées à vendre sur la plate-forme de médias sociaux Reddit, selon le bureau du commissaire au Royaume-Uni – qui a permis l’amende.
Le commissaire à l’information, John Edwards, a qualifié l’incident de plusieurs mois de tout au long de l’été 2023 une «violation profondément dommageable». Le compromis des données britanniques n’était qu’une fraction des pertes plus larges, avec les données de 7 millions personnes touchées.
23andMe facture aux utilisateurs 89 £ pour que leur ADN soit dépisté à l’aide d’un kit à base de salive, leur permettant de découvrir d’où proviennent leurs ancêtres éloignés en termes d’ethnicité et d’emplacement. Mais de nombreux clients ont demandé que leurs données ADN soient supprimées des archives de l’entreprise après le piratage et elle a déposé un bilan de mise en faillite aux États-Unis en mars.
L’amende a été une offre de 305 millions de dollars pour acheter la société dirigée par son ancienne directrice générale, Anne Wojcicki, avait l’air prêt pour reprendre le contrôle de l’entreprise dans une vente aux enchères de faillite.
Edwards a déclaré que la violation des données «les informations personnelles sensibles exposées, les antécédents familiaux et même les conditions de santé de milliers de personnes au Royaume-Uni».
« Comme l’une de celles touchées nous l’a dit: une fois ces informations, elle ne peut pas être modifiée ou rééditée comme un mot de passe ou un numéro de carte de crédit », a-t-il déclaré.
23andMe n’a pas réussi à prendre des mesures de base pour protéger les informations et leurs systèmes de sécurité étaient inadéquats, selon le régulateur britannique de protection des données. Les violations comprenaient le fait de ne pas installer d’authentification utilisateur plus stricte.
Le pirate a exploité une faiblesse commune causée par les utilisateurs réutilisant des mots de passe qui avaient déjà été volés dans d’autres violations de données non liées. Les pirates ont ensuite utilisé des outils automatisés pour essayer ces mots de passe dans une tactique appelée «Rupture des informations d’identification».
« Les panneaux d’avertissement étaient là et la société a été lente à répondre », a déclaré Edwards, qui a mené en enquête conjointement avec le commissaire au Canada. «Cela a laissé les données les plus sensibles des gens vulnérables à l’exploitation et aux dommages.»
Après la promotion de la newsletter
Un porte-parole de la société a déclaré que 23andMe avait depuis mis en œuvre plusieurs étapes pour accroître la sécurité pour protéger les comptes et les informations individuels. Ils ont déclaré que dans le cadre de l’accord pour acquérir 23andMe, le sans-but de Wojcicki, le TTAM Research Institute, a pris des «engagements contraignants pour améliorer les protections pour les données des clients et la confidentialité, notamment en permettant aux individus de supprimer leur compte et de retirer de la recherche à tout moment» et de «accepter de ne pas vendre ou transférer des données génétiques sous une surface de faillite ou de changement de contrôle soumembre», et d’offrir les clients de deux années.
L’amende fait partie de plusieurs sanctions de plusieurs millions de livres infligées par l’ICO ces dernières années pour ne pas protéger les données contre les hacks et les attaques de ransomwares. En 2022, il une amende L’entreprise de construction interserve 4,4 millions de livres sterling lorsque les données du personnel ont été compromises, y compris les coordonnées, les comptes bancaires, l’orientation sexuelle et la santé.
En mars de cette année une amende Un fournisseur informatique du NHS, un groupe de logiciels informatiques avancé, près de 3,1 millions de livres sterling pour les défaillances de sécurité qui mettent les informations personnelles de près de 80 000 personnes en danger.