Un demi-million de Britanniques se sont inscrits pour contribuer à la recherche contre le cancer. Leurs données se sont retrouvées en vente sur Alibaba.
L’organisme de bienfaisance UK Biobank a informé le gouvernement britannique d’un incident concernant les données médicales de 500 000 citoyens britanniques mises en vente sur le site de commerce électronique chinois Alibaba.
La responsable nationale de la protection des données, le Dr Nicola Byrne, a déclaré dans un communiqué :
« Les personnes qui partagent généreusement leurs données de santé pour faire bénéficier d’autres personnes grâce à la recherche médicale s’attendent à juste titre à ce que ces données soient conservées en toute sécurité et qu’il y ait des responsabilités en cas de problème. »
Les autorités ont déclaré que les chercheurs avaient téléchargé les données dans le cadre d'un contrat légitime, mais leur présence sur Alibaba montre comment un accès « autorisé » peut tout de même se transformer en divulgation publique.
La UK Biobank détient plus de 15 millions d'échantillons biologiques et de dossiers médicaux détaillés de volontaires recrutés entre 2006 et 2010, et des chercheurs du monde entier l'utilisent pour étudier le cancer, la démence, le diabète et d'autres maladies chroniques.
La UK Biobank signe habituellement des contrats avec des universités et des entreprises privées agréées avant de leur donner accès aux données, mais les enquêteurs ont retracé les liens entre Alibaba et trois institutions de recherche. La UK Biobank a révoqué leur accès et suspendu tout nouvel accès aux données le temps de renforcer ses mesures de sécurité.
Au moins une annonce contenait , semble-t-il, des données sur l'ensemble des 500 000 volontaires, et Alibaba et les autorités chinoises ont retiré les annonces avant que quiconque puisse confirmer une vente.
Cet ensemble de données provient de la cohorte de recherche de longue durée de la UK Biobank et comprend des séquences génétiques, des échantillons de sang, des images médicales et des informations détaillées sur le mode de vie utilisées pour la recherche en santé mondiale.
La UK Biobank souligne que les données ont été anonymisées, c'est-à-dire qu'elles ne contenaient ni noms, ni adresses, ni numéros de sécurité sociale. Elles contenaient toutefois des données démographiques précises, telles que le sexe, l'âge, le mois et l'année de naissance, des indicateurs socio-économiques, des informations sur le mode de vie et des données de santé. Nous avons constaté à plusieurs reprises que ces données peuvent être reliées à des individus par recoupement avec d'autres registres publics ou commerciaux.
Pourquoi la Chine s'en soucie
Les services de renseignement américains, les rapports politiques et les travaux universitaires dressent un tableau cohérent : la Chine considère les vastes et diversifiés ensembles de données génomiques et sanitaires humaines comme une ressource stratégique pour des raisons à la fois économiques et sécuritaires.
Le Centre national américain de contre-espionnage et de sécurité (NCSC) affirme explicitement que la République populaire de Chine considère les données massives sur les soins de santé et la génomique comme une « ressource stratégique » pour stimuler ses industries de la biotechnologie, de l'IA et de la médecine de précision, et a investi des milliards dans des initiatives nationales en matière de génomique et de médecine de précision.
Les vastes ensembles de données provenant de populations non chinoises sont particulièrement précieux pour la construction de modèles d'IA et l'amélioration de la compétitivité commerciale mondiale des entreprises pharmaceutiques et biotechnologiques chinoises.
Du point de vue d'un attaquant ou d'un service de renseignement étranger, la UK Biobank est un atout inestimable : ses données sont soigneusement sélectionnées, de grande qualité, à l'échelle de la population et bien plus précieuses que des fuites de données aléatoires. De plus, comme les données génétiques sont immuables (contrairement à un mot de passe, elles ne peuvent être remplacées), toute compromission présente un intérêt considérable à long terme pour le renseignement.
L'année dernière, le Guardian a rapporté qu'une demande d'accès à la UK Biobank sur cinq acceptée provenait d'entités chinoises, dont BGI, la société phare de génomique chinoise qui a par la suite été placée sur la liste des entités américaines en raison de préoccupations concernant son rôle dans la surveillance des populations minoritaires.
La Chine ne se contente pas d'accumuler de l'ADN par simple curiosité. Elle établit une carte génomique mondiale qui couvre aussi bien ses adversaires que ses propres citoyens.
Vos données génomiques
L'utilisation des données génétiques à des fins malveillantes suscite de vives inquiétudes , et à juste titre. Cependant, je ne prétends pas qu'il soit mal de donner volontairement ses données médicales pour la recherche. Les chercheurs utilisent souvent ces données à bon escient pour aider d'autres personnes.
Mais il y a de bonnes questions à se poser avant de le faire.
- Qui dirige le projet et où est-il basé ?
Privilégiez les biobanques à but non lucratif ou universitaires dotées de mandats d'intérêt public clairs et d'un contrôle rigoureux, plutôt que les courtiers en données commerciaux opaques. - Comment stockent-ils les données collectées ?
Demandez précisément des informations sur les données génomiques, les fichiers de séquençage bruts, les liens vers les dossiers médicaux et si les données sont cryptées au repos et en transit. - Qui peut accéder aux données et sous quels contrôles ?
Recherchez un comité d'accès formel, des contrats stricts et des contrôles techniques tels que des environnements d'analyse sécurisés et des options d'exportation limitées, et non des modèles du type « téléchargez un fichier CSV et partez » comme celui qui a permis l'incident de la UK Biobank. - Les entités étrangères sont-elles autorisées à accéder aux données ou à les copier ?
À la lumière des avertissements des gouvernements américain et britannique concernant l'accès de la Chine aux données génomiques occidentales, il est raisonnable de se demander si ces données peuvent être consultées, traitées ou stockées dans des juridictions présentant des exigences de sécurité différentes. - Comment gèrent-ils le risque de réidentification ?
Comme nous l'avons évoqué, « dé-identifié » n'est pas un mot magique. Privacy Des experts et les services de renseignement américains ont averti que les données sanitaires et génomiques peuvent souvent être réidentifiées lorsqu'elles sont combinées à d'autres ensembles de données.
Si des données contenant votre ADN sont entre les mains de quelqu'un d'autre, vous ne pouvez pas les récupérer, mais vous pouvez exiger une meilleure gouvernance et inciter les institutions à traiter les données génomiques comme des informations sensibles de niveau sécurité nationale.
Cela exige également une plus grande méfiance envers les arnaques très ciblées. Les attaquants peuvent utiliser de vastes ensembles de données combinées pour concevoir des attaques de spear-phishing ou des arnaques liées à la santé convaincantes, par exemple en vous contactant au sujet d'une maladie spécifique dont vous ou un membre de votre famille souffrez. Soyez particulièrement vigilant face aux courriels, appels et applications non sollicités concernant la santé ou l'ADN.
Que savent les cybercriminels à votre sujet ?
Utiliser Malwarebytes « Analyse gratuite de votre empreinte numérique pour vérifier si vos informations personnelles ont été exposées en ligne. »
