50万人の英国人ががん治療の支援に名乗りを上げた。しかし、彼らの個人情報がアリババで売買されることになってしまった。
英国バイオバンク財団は、50万人の英国市民の医療データが中国のECサイト「アリババ」で販売されていたという事案について、英国政府に通報した。
国家データ保護責任者のニコラ・バーン博士は声明の中で次のように述べた：
「医学研究を通じて他者の利益のために自らの健康データを惜しみなく提供している人々は、そのデータが安全に管理されること、そして問題が発生した際には責任が問われることを当然のこととして期待している。」
当局者によると、研究者らは正当な契約に基づいてデータをダウンロードしたが、そのデータがアリババに掲載されたことは、「承認された」アクセスであっても、依然として情報が公にさらされる可能性があることを示している。
UKバイオバンクは、2006年から2010年にかけて募集されたボランティアから提供された1,500万件以上の生体試料と詳細な健康記録を保有しており、世界中の研究者ががん、認知症、糖尿病、その他の慢性疾患の研究に活用しています。
UKバイオバンクは通常、審査済みの大学や民間企業と契約を結んだ上でデータへのアクセスを許可しているが、調査の結果、アリババの掲載情報は3つの研究機関に由来することが判明した。UKバイオバンクはこれらの機関のアクセス権を取り消し、セキュリティ対策を強化する間、新たなデータへのアクセスを一時停止した。
少なくとも1件の掲載情報には、50万人のボランティア全員のデータが含まれていたと報じられており、アリババと中国当局は、販売が確認される前にこれらの広告を削除した。
このデータセットは、UKバイオバンクが長年にわたり実施しているコホート研究に基づくもので、世界的な健康研究に活用される遺伝子配列、血液サンプル、医療画像、および詳細な生活習慣情報が含まれています。
UKバイオバンクは、このデータが「匿名化」されていることを強調しています。つまり、氏名、住所、NHS番号は含まれていません。しかし、性別、年齢、生年月、社会経済的指標、生活習慣の詳細、健康指標といった詳細な人口統計情報は依然として含まれていました。こうしたデータは、他の公的記録や商業記録と照合することで、個人に結びつけられる可能性があることは、これまで繰り返し確認されています。
なぜ中国は関心を寄せているのか
米国の情報機関、政策報告書、および学術研究は、一貫した見解を示している。すなわち、中国は、経済的および安全保障上の理由から、大規模かつ多様なヒトゲノムおよび健康に関するデータセットを戦略的資源として扱っている。
米国国家対諜報・安全保障センター（NCSC）は、中華人民共和国が医療およびゲノムデータの大量収集を、バイオテクノロジー、AI、精密医療産業を推進するための「戦略的資産」と見なしており、国家レベルのゲノムおよび精密医療イニシアチブに数十億ドルを投資していると明言している。
中国以外の地域の人口から得られた大規模なデータセットは、AIモデルの構築や、中国の製薬・バイオテクノロジー企業のグローバルな競争力強化において、特に価値が高い。
攻撃者や外国の諜報機関の視点から見れば、UK Biobankは「至宝」とも言える資産である。厳選された高品質なデータが人口規模で収集されており、無作為に流出するデータよりもはるかに有用だからだ。また、遺伝情報は不変である（パスワードとは異なり、書き換えることができない）ため、一度情報が漏洩すれば、諜報上の価値が極めて長期にわたって持続することになる。
昨年、『ガーディアン』紙は、英国バイオバンクへのデータ利用申請のうち、承認されたものの5件に1件が中国の機関によるものであったと報じた。その中には、中国の代表的なゲノム解析企業であるBGIも含まれており、同社はその後、少数民族に対する監視活動への関与が懸念されたことから、米国の「エンティティリスト」に指定された。
中国は単なる好奇心からDNAを蓄積しているわけではない。自国民だけでなく、敵対国をも網羅する世界規模のゲノムマップを構築しているのだ。
あなたのゲノムデータ
遺伝情報が悪用されるのではないかという懸念が強く持たれていますが、それには十分な理由があります。しかし、研究のために自身の医療情報を提供することが悪いことだとは言いません。研究者たちは、そのデータを他者のために役立てるために有効活用していることがよくあります。
しかし、そうする前に確認しておくべき重要な点がいくつかあります。
- このプロジェクトは誰が運営しており、拠点はどこにありますか？
不透明な商業データブローカーよりも、明確な公益的使命と強力な監督体制を備えた非営利団体や学術機関のバイオバンクを優先します。 - 収集したデータはどのように保存されているのでしょうか？
特に、ゲノムデータ、生データ（シーケンスファイル）、医療記録へのリンク、および保存時と転送時のデータの暗号化の有無について具体的に確認してください。 - 誰がデータにアクセスでき、どのような管理体制が敷かれているのか？
正式なアクセス委員会、厳格な契約、そして安全な分析環境やエクスポート機能の制限といった技術的な管理措置が講じられているかを確認すべきである。UKバイオバンクでのインシデントを招いたような、「CSVファイルをダウンロードしてそのまま持ち出す」ようなモデルは避ける必要がある。 - 外国の組織はデータにアクセスしたり、コピーしたりすることは許されているのでしょうか？
中国による欧米のゲノムデータへのアクセスについて、米国および英国政府が警告を発していることを踏まえると、セキュリティ基準が異なる法域において、データへのアクセス、処理、保存が可能かどうかを問うことは妥当です。 - 再識別リスクにはどのように対処しているのか？
これまで議論してきたように、「非識別化」は魔法の言葉ではない。Privacy 米国の情報機関は、医療データやゲノムデータを他のデータセットと組み合わせると、再識別が可能になる場合が多いと警告している。
自分のDNAを含むデータが他人の手に渡ってしまった場合、それを元に戻すことはできませんが、ガバナンスの改善を求め、機関に対してゲノムデータを国家安全保障レベルの機密情報として扱うよう働きかけることは可能です。
また、特定のターゲットを絞った詐欺に対しては、より一層の警戒心を持つ必要があります。攻撃者は、大規模な統合データセットを利用して、説得力のあるスピアフィッシングや医療関連の詐欺を仕掛けてくる可能性があります。例えば、あなたやご家族が患っている特定の病気について連絡してくるといった手口です。見知らぬ相手から送られてくる医療やDNA関連のメール、電話、アプリには、特に疑いの目を向けてください。
サイバー犯罪者はあなたについて何を知っているのか？
Malwarebytes無料デジタルフットプリントスキャン を利用して、 個人情報がオンライン上で漏洩していないか確認してください 。
