Les victimes de la fuite de données 23andme reçoivent des millions de dollars de dommages et intérêts

La violation de données s'est produite en 2023 lorsque plus de quatre millions de dossiers de clients ont été copiés par des cybercriminels et mis en vente sur les marchés du dark web.

Cette exposition a soulevé de sérieuses inquiétudes quant à la confidentialité et à la sécurité des utilisateurs qui avaient confié leurs données personnelles et génétiques sensibles à la société. Au moment de la violation, 23andme a nié toute responsabilité, arguant que les utilisateurs étaient en faute pour avoir utilisé des mots de passe faibles ou réutilisé les identifiants de connexion d'autres plates-formes où ils auraient pu être compromis.

Dans ce cas, 23andme a affirmé que les utilisateurs avaient utilisé les mêmes informations d'identification ailleurs, permettant aux pirates d'exploiter ces vulnérabilités et d'accéder à leur système. Fondée en 2006 par Anne Wojcicki, plus tard épouse du cofondateur de Google Sergey Brin, avec Linda Avey et Paul Cusenza, 23andme fournit des services d'analyse génétique, y compris des informations sur les prédispositions, les traits et les ancêtres des maladies. Suite à la violation des données, la société a connu une baisse significative de sa valeur, son cours boursier ayant chuté de 75% en 2024 avant de déclarer faillite.

En conséquence, les actifs de la société ont été mis aux enchères, et Chrome Holding, opérant sous le nom de TTAM Research Institute, a remporté l'enchère pour 305 millions de dollars. Derrière TTAM Research Institute se trouve Wojcicki, l'une des figures fondatrices de 23andme. Récemment, de nouvelles procédures judiciaires ont été engagées contre 23andme concernant la violation de données. Le procureur général de Californie, Rob Bonta, a accusé la société de ne pas avoir détecté d'activités suspectes sur ses serveurs, de ne pas avoir mis en œuvre de mesures robustes de protection des données et d'avoir informé le public de manière inadéquate sur l'incident.

Ces allégations suggèrent que la société n'a pas pris de mesures suffisantes pour empêcher la violation ou avertir adéquatement les utilisateurs des risques associés à l'exposition de leurs données. L'issue des poursuites judiciaires en cours pourrait influencer la manière dont les futures violations de données seront traitées, en particulier en ce qui concerne la responsabilité des entreprises et les pratiques de notification des utilisateurs. Avec le règlement maintenant en place, les utilisateurs concernés recevront une compensation financière, bien que le processus de distribution exact reste incertain.

Le cas souligne également l'importance croissante de la cybersécurité à l'ère numérique, en particulier pour les entreprises qui traitent des données hautement sensibles telles que les informations génétiques.Le règlement de cette question peut créer des précédents importants pour des cas similaires impliquant des violations de données et la responsabilité des entreprises.