23andMe : la fin troublante d’un géant de l’ADN

La startup génétique « 23andMe », autrefois pionnière de l’analyse ADN, ferme ses portes dans une controverse mêlant piratage, données sensibles et secrets industriels. ZATAZ retrouve les adn de TRUMP, Musk ou encore la famille de Bill Gates !

C’est la fin d’une époque pour « 23andMe« , la célèbre startup californienne qui a démocratisé les tests ADN auprès de plus de 15 millions de clients dans le monde. Née dans l’effervescence de la Silicon Valley, elle avait promis à chacun de percer les mystères de ses origines et de sa santé à partir d’un simple échantillon de salive. Mais derrière cette façade de transparence scientifique, se cache une histoire beaucoup plus trouble. Depuis le piratage massif de ses bases de données en 2023, la société fait face à une série de scandales, jusqu’à son dépôt de bilan. Le 14 mai prochain, un tribunal du Missouri décidera de l’avenir de ses actifs, tandis qu’une question fondamentale demeure : qu’advient-il des données génétiques de millions de clients ?

La promesse génétique d’une startup visionnaire

Lorsque « 23andMe » est lancée en 2006 par Anne Wojcicki, ex-épouse du cofondateur de Google Sergey Brin, elle révolutionne le marché de la génétique personnelle. Pour moins de 100 dollars (environ 92 euros), n’importe qui pouvait commander un kit ADN, envoyer un échantillon de salive, et recevoir quelques semaines plus tard un rapport détaillé sur ses origines ethniques, ses prédispositions médicales et même ses traits de personnalité. Le concept séduit vite : en moins de quinze ans, la société atteint les 15 millions d’utilisateurs et devient une référence mondiale.

Mais le vrai business de « 23andMe » ne se trouvait pas dans la vente des tests. Ce n’était qu’un produit d’appel. La véritable manne résidait ailleurs, dans un domaine bien plus discret : la revente de données génétiques à des laboratoires pharmaceutiques et de recherche. Grâce à des partenariats parfois opaques, l’entreprise a bâti une base de données unique au monde, une « banque mondiale de génome » dont la valeur dépassait de loin celle des simples kits ADN.

Le cœur du modèle économique n’était pas les tests ADN, mais la monétisation des données génétiques via des partenariats avec l’industrie pharmaceutique.

Service de Veille ZATAZ – 96% de satisfaction

Le mirage de la transparence

La société assurait à ses utilisateurs que leurs données ne seraient utilisées qu’avec leur consentement éclairé. Mais de nombreux clients ignoraient que leur profil génétique pouvait être partagé avec des entités commerciales ou académiques. Les conditions générales d’utilisation, longues et complexes, laissaient la porte ouverte à une exploitation massive des informations personnelles. Plusieurs ONG et juristes ont dénoncé des clauses floues, permettant à « 23andMe » d’agréger, analyser et céder ces données à des tiers, souvent à des fins lucratives.

L’image d’une entreprise respectueuse de la vie privée s’est encore plus effritée après le scandale de 2023. Cette année-là, un piratage d’ampleur sans précédent a exposé les données de près de 7 millions de clients, dont certaines très sensibles, comme les prédispositions à des maladies graves. Des pirates sont parvenus à infiltrer les comptes en exploitant des mots de passe réutilisés, selon la version officielle. Mais pour beaucoup, cela révélait avant tout une gestion laxiste de la sécurité des données.

La chute précipitée

Ce piratage a marqué un tournant. La confiance du public s’est effondrée, les plaintes se sont multipliées, et les investisseurs ont déserté. Malgré les tentatives de relance et un changement de direction, la société n’a pas survécu. En mars 2025, elle annonce officiellement sa fermeture. Les actifs – dont l’immense base de données génétiques – sont mis en vente. Une audience judiciaire est prévue le 14 mai prochain devant le tribunal du Missouri pour trancher sur le sort de ces ressources désormais convoitées par d’autres géants du secteur.

Ce processus de liquidation ouvre une brèche dans le droit à la confidentialité. Nombreux sont les clients qui avaient demandé la suppression de leurs données après le piratage. Or, la fermeture de la société rend aujourd’hui cette démarche impossible. Les serveurs sont gelés, les requêtes inaccessibles, et les acheteurs potentiels lorgnent une base de données d’une valeur inestimable pour la recherche pharmaceutique, mais aussi pour les assurances, voire les gouvernements.

Des millions de clients n’ont désormais plus la possibilité de faire effacer leurs données génétiques, malgré les engagements initiaux de la société.

Une base de données convoitée

La valeur des données génétiques collectées par « 23andMe » dépasse largement le cadre médical. Ces informations permettent d’anticiper des comportements de santé, d’optimiser des politiques d’assurance, de développer des médicaments ciblés… ou de mener des recherches sur l’héritabilité de certains traits. Elles intéressent aussi les militaires et les gouvernements, dans une époque où la génétique devient un enjeu stratégique.

C’est pourquoi plusieurs consortiums, dont des groupes pharmaceutiques européens et asiatiques, se positionnent pour acquérir tout ou partie des actifs de la startup. L’idée d’une centralisation encore plus poussée des données génétiques inquiète les défenseurs de la vie privée. Certains comparent déjà la base de données de « 23andMe » à un « Google de l’ADN », prêt à être monétisé sans limite.

La fondatrice Anne Wojcicki, longtemps visage de la startup, est aujourd’hui très discrète. Elle a quitté la direction en 2024, au plus fort de la crise. Une autre voix s’est élevée récemment : celle de « Vicky », une ancienne cadre devenue lanceuse d’alerte. Selon elle, la direction de l’entreprise aurait volontairement minimisé l’impact du piratage et masqué les véritables enjeux des partenariats avec certains laboratoires. Elle affirme que des données ont été transmises à des entités privées sans l’accord des clients, et parfois hors du cadre légal.

Si ces accusations sont avérées, elles pourraient entraîner des poursuites pénales et relancer le débat sur la régulation du secteur. Déjà, plusieurs sénateurs américains réclament une enquête fédérale et une législation plus stricte sur le traitement des données génétiques. L’Union européenne, quant à elle, suit de près le dossier, d’autant que plusieurs millions de clients concernés sont européens.

Service de Veille ZATAZ – 96% de satisfaction

Vers un nouveau cadre légal ?

Ce scandale pourrait faire jurisprudence. La faillite de « 23andMe » expose les failles d’un modèle économique fondé sur la commercialisation du génome humain. Elle illustre aussi la difficulté de garantir le droit à l’oubli numérique dans un monde où les données biologiques deviennent une monnaie d’échange. Aujourd’hui, les États doivent répondre à une question inédite : à qui appartient réellement le patrimoine génétique une fois qu’il est confié à une entreprise privée ?

La faillite de cette startup emblématique pourrait inciter les autorités à mettre en place un registre international des bases de données génétiques, avec des mécanismes de contrôle indépendants et des droits clairs pour les citoyens. Elle pose aussi la question du consentement éclairé, qui doit être repensé à l’ère de l’intelligence artificielle et du big data.

Le piratage de 2023 : la faille qui a tout fait basculer

C’est en octobre 2023 que l’affaire éclate. Des hackers revendiquent sur un forum clandestin la mise en ligne de données issues de millions de profils ADN. Très vite, les soupçons se tournent vers « 23andMe ». L’entreprise confirme le piratage, d’abord à demi-mot, puis dans un communiqué officiel qui reconnaît l’ampleur inédite de la fuite. En tout, ce sont près de 7 millions de profils génétiques qui ont été compromis, dont certains contenaient des informations médicales sensibles.

Contrairement à ce que l’on pourrait penser, les pirates ne se sont pas attaqués aux serveurs de l’entreprise par force brute. Ils ont utilisé une méthode bien plus subtile : l’attaque dite « par bourrage d’identifiants » (credential stuffing). Profitant du fait que de nombreux utilisateurs réutilisent les mêmes mots de passe sur plusieurs plateformes, ils ont exploité des données issues d’autres fuites antérieures pour accéder aux comptes « 23andMe ». Une fois à l’intérieur, ils ont pu télécharger des arbres généalogiques, des correspondances ADN entre utilisateurs et des estimations d’ascendance ethnique. Le Service de Veille de ZATAZ a pu constater des fichiers diffusés à l’époque et une base de données de 900 000 clients diffusée en février 2025 (voir plus bas dans l’article de ZATAZ).

Mais ce n’est pas tout. En raison de la structure même de la plateforme, qui permet aux utilisateurs de relier leurs profils à ceux de membres de leur famille, les hackers ont pu accéder non seulement aux comptes piratés directement, mais aussi à des informations sur des milliers d’autres profils liés. Une réaction en chaîne qui a démultiplié la portée de la brèche.

La réaction de la direction a été jugée tardive et peu transparente. Plusieurs semaines se sont écoulées entre la découverte du piratage et l’alerte envoyée aux clients. Pour beaucoup, c’est cette lenteur qui a sapé le lien de confiance. Pire encore, certaines victimes affirment avoir découvert la fuite via des articles de presse ou des forums spécialisés, avant même d’être contactées par la société.

En plus de ses répercussions juridiques, ce piratage a eu des conséquences psychologiques profondes pour les clients. Des milliers d’entre eux ont témoigné de leur anxiété, de leur sentiment d’avoir été trahis, et de leur impossibilité désormais de faire effacer leurs données, prises au piège d’une entreprise en faillite. Et ils ne peuvent plus effacer les données, leurs données !

En attendant, le Service Veille de ZATAZ confirme que la base de données est apparue dans le darkweb, comme par magie, en février 2025. 999 998 comptes exactement. 12 175 français concernés. 610 357 avec données de santé. 416 924 hommes, 583 060 femmes. Plus étonnant encore, l’une des bases de données affiche des personnalités, comme Elon Musk (X/Twitter) ; Mark Zuckerberg (META/Facebook) ; Plus de trente membres de la famille Gates (Bill Gates) et cinq membres de la famille du 47ème Président des États-Unis d’Amérique, Donald Trump. L’ancienne fondatrice de 23andme, Anne Wojcicki est aussi présente, avec sa famille !

L’ADN, l’enjeu du moment ? Des hackers ont diffusé des informations sur la famille de Vladimir Poutine aprés le piratage de l’ordinateur d’un cousin du Président Russe.

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à la newsletter de ZATAZ. Rejoignez également notre groupe WhatsApp et nos réseaux sociaux pour accéder à des informations exclusives, des alertes en temps réel et des conseils pratiques pour protéger vos données.