La violation de données massives chez 23andMe, révélée en octobre 2023, a exposé les informations génétiques et personnelles de plus de 6 millions de personnes, soulevant des questions cruciales sur la sécurité des données sensibles dans le secteur des sciences de la vie. L’incident a mis en lumière une vulnérabilité persistante : un décalage entre l’innovation rapide et les mesures de cybersécurité robustes.
L’attaque, menée par un groupe de pirates informatiques se faisant appeler « Golem », a permis d’accéder à des données intimes telles que les noms complets, les dates de naissance, les lieux de résidence, les origines ethniques estimées et, surtout, les informations génétiques spécifiques des utilisateurs de 23andMe. Ces données ont été diffusées sur le dark web, accessibles à quiconque savait où les trouver.
Le mode opératoire des pirates repose sur une technique appelée « credential stuffing », qui consiste à utiliser des identifiants (noms d’utilisateur et mots de passe) volés lors de précédentes fuites de données pour accéder illégalement aux comptes des utilisateurs. Initialement, environ 14 000 comptes ont été compromis, mais l’impact s’est avéré bien plus vaste.
Selon Aaron R. Warner, PDG de ProCircular, une société spécialisée dans la sécurité de l’information, ce type d’incident n’est pas surprenant dans un secteur où la recherche et le développement prennent souvent le pas sur la sécurité. « Même si les entreprises des sciences de la vie sont incroyablement avancées dans l’application de la technologie, elles ne constituent pas un secteur reconnu pour son leadership en matière de cybersécurité », explique-t-il. « Le rythme de la recherche ou la pression exercée pour commercialiser un nouveau produit dépasse souvent les implications en matière de sécurité. »
Les entreprises de biotechnologie, en particulier les plus petites, manquent souvent des ressources nécessaires pour mettre en œuvre des mesures de sécurité adéquates, se concentrant davantage sur la commercialisation de leurs produits. Le secteur est également confronté à des défis spécifiques, tels que la propriété intellectuelle sensible, l’évolution rapide des réglementations et la dépendance à des infrastructures tierces pour la recherche, le stockage et le cloud computing.
Des rapports récents confirment cette tendance. Les cybercriminels ciblent activement les entreprises biotechnologiques et pharmaceutiques pour le vol de propriété intellectuelle, l’extorsion et l’espionnage. Les attaques basées sur l’identité, facilitées par une mauvaise gestion des identifiants, sont en augmentation, avec 90 % des actifs liés au cloud vendus sur le dark web impliquant des informations d’identification compromises, selon le rapport X-Force d’IBM.
La violation de 23andMe a eu des conséquences financières importantes. L’entreprise a déposé une demande de mise en faillite (chapitre 11) le 23 mars 2025, et sa cofondatrice et PDG, Anne Wojcicki, a démissionné. La société envisage de vendre ses actifs sous surveillance judiciaire.
L’incident a également révélé des détails troublants, notamment la présence potentielle de données génétiques appartenant à Elon Musk dans les fichiers volés. Une analyse des données a mis en évidence une comparaison détaillée de son génome avec celui de plus de 1 000 autres personnes, examinant des régions spécifiques de ses chromosomes pour identifier des prédispositions à certaines maladies et des caractéristiques humaines uniques.
Pour éviter que de tels incidents ne se reproduisent, M. Warner insiste sur la nécessité de maîtriser les fondamentaux de la cybersécurité. « La meilleure façon d’y parvenir est de maîtriser les principes fondamentaux, les éléments fondamentaux de l’hygiène de la cybersécurité. Ce n’est pas glamour, mais ils sont extraordinairement efficaces », affirme-t-il. Il préconise notamment la mise en œuvre d’une gestion rigoureuse des identités et des accès, la correction rapide des vulnérabilités et la sécurisation des chaînes d’approvisionnement.
Il souligne également l’importance d’intégrer la cybersécurité dans la gouvernance organisationnelle, en faisant de celle-ci un sujet permanent à l’ordre du jour des conseils d’administration et en nommant des responsables de la sécurité de l’information compétents. Enfin, il appelle à une sensibilisation accrue et à une formation continue des employés en matière de cybersécurité.
« La violation de 23andMe est un signal d’alarme pour les consommateurs et l’ensemble du secteur des sciences de la vie », conclut M. Warner. « Cela souligne ce que beaucoup d’entre nous savent depuis des années : la cybersécurité n’est pas une case à cocher technique, c’est un pilier fondamental de confiance. »