23andMe a mis 5 mois à se rendre compte que des pirates avaient volé les données des comptes clients

• 23andMe a découvert qu’il avait été piraté cinq mois après sa violation, conformément à un dossier réglementaire.
• La société de tests ADN a déclaré avoir été victime d’une violation en mai, mais ne l’a découvert qu’en octobre grâce aux publications de Reddit.
• L’entreprise aurait imputé la violation à ses clients, affirmant qu’ils n’avaient pas mis à jour leurs mots de passe.

Les comptes clients de 23andMe ont été piratés par des pirates informatiques l’année dernière, mais il a fallu cinq mois à la société de tests ADN pour détecter l’intrusion.

Dans une notification de violation de données dépôt la semaine dernière, la société a révélé qu’elle n’avait découvert l’attaque qu’en octobre.

Les pirates ont orchestré une attaque à partir de mai 2023 qui s’est poursuivie jusqu’en septembre, selon le dossier. Presque 7 millions d’utilisateurs ont été touchés, soit environ la moitié de sa clientèle.

La société a eu connaissance de l’attaque après que les données client volées ont été annoncées sur Reddit, ainsi que sur le forum darkweb BreachForums, selon le dossier.

23andMe a déclaré avoir « immédiatement » commencé à enquêter sur l’attaque après en avoir pris connaissance en octobre et avoir contacté les forces de l’ordre fédérales.

Le dossier indiquait : « Le 10 octobre, nous avons demandé à tous les clients 23andMe de réinitialiser leur mot de passe. Le 6 novembre, nous avons demandé à tous les clients nouveaux et existants de se connecter en utilisant une vérification en deux étapes. »

Son enquête a révélé que des informations sur leurs ancêtres avaient été consultées, a déclaré 23andMe. L’entreprise a ensuite été frappée par un série de procès des victimes de la violation.

23etMoi dit précédemment à Trading Insider que les pirates ont eu accès aux données des clients via « bourrage d’informations d’identification« .

« Le credential stuffing est une méthode d’attaque par laquelle les acteurs malveillants utilisent des listes d’identifiants d’utilisateurs précédemment compromis pour accéder aux systèmes d’un tiers », a déclaré 23andMe dans le dossier.

La société de biotechnologie aurait a blâmé les clients pour la violation de données.

« Les utilisateurs ont recyclé par négligence et n’ont pas mis à jour leurs mots de passe à la suite de ces incidents de sécurité passés, qui ne sont pas liés à 23andMe », a déclaré la société à un groupe de victimes dans une lettre, TechCrunch. signalé.

23andMe, fondée en 2006, s’est fait connaître grâce à son tests de salive qui pourraient tester les prédispositions génétiques, l’ascendance et les traits hérités. L’entreprise partage des données utilisateur anonymisées avec leur accord avec des tiers.

23andMe n’a pas immédiatement répondu à une demande de commentaire de Trading Insider, faite en dehors des heures normales de travail.