Meio milhão de britânicos se inscreveram para ajudar a curar o câncer. Seus dados acabaram sendo colocados à venda no Alibaba.
A instituição de caridade UK Biobank informou o governo britânico sobre um incidente envolvendo dados médicos de 500 mil cidadãos britânicos que estavam sendo colocados à venda no site de comércio eletrônico chinês Alibaba.
A Defensora Nacional de Dados, Dra. Nicola Byrne, declarou em comunicado:
“As pessoas que generosamente compartilham seus dados de saúde para beneficiar outras pessoas por meio da pesquisa médica esperam, com razão, que esses dados sejam mantidos em segurança e que haja responsabilização quando algo der errado.”
Autoridades afirmaram que os pesquisadores baixaram os dados por meio de um contrato legítimo, mas o fato de eles terem aparecido no Alibaba mostra como um acesso “autorizado” ainda pode resultar em divulgação pública.
O UK Biobank possui mais de 15 milhões de amostras biológicas e registros detalhados de saúde de voluntários recrutados entre 2006 e 2010, e pesquisadores de todo o mundo o utilizam para estudar o câncer, a demência, o diabetes e outras doenças crônicas.
O UK Biobank normalmente assina contratos com universidades e empresas privadas previamente avaliadas antes de lhes permitir o acesso aos dados, mas os investigadores rastrearam os anúncios no Alibaba até três instituições de pesquisa. O UK Biobank revogou o acesso dessas instituições e suspendeu novos acessos aos dados enquanto reforça os controles de segurança.
Pelo menos um anúncio teria contido dados sobre todos os 500 mil voluntários, e o Alibaba e as autoridades chinesas removeram os anúncios antes que alguém pudesse confirmar a venda.
O conjunto de dados provém da coorte de pesquisa de longo prazo do UK Biobank e inclui sequências genéticas, amostras de sangue, imagens médicas e informações detalhadas sobre o estilo de vida, utilizadas em pesquisas globais sobre saúde.
O UK Biobank ressalta que os dados foram “anonimizados”, o que significa que não incluíam nomes, endereços ou números do NHS. No entanto, ainda continham dados demográficos detalhados, como gênero, idade, mês e ano de nascimento, indicadores socioeconômicos, informações sobre estilo de vida e indicadores de saúde. Já observamos repetidamente que esses dados podem ser associados novamente a indivíduos por meio do cruzamento com outros registros públicos ou comerciais.
Por que a China se importa
Relatórios dos serviços de inteligência dos EUA, documentos de política pública e trabalhos acadêmicos apresentam um quadro consistente: a China considera grandes e diversificados conjuntos de dados genômicos e de saúde como um recurso estratégico, tanto por motivos econômicos quanto de segurança.
O Centro Nacional de Contra-espionagem e Segurança (NCSC) dos Estados Unidos afirma explicitamente que a República Popular da China considera os dados genômicos e de saúde em massa como uma “mercadoria estratégica” para impulsionar seus setores de biotecnologia, inteligência artificial e medicina de precisão, e já investiu bilhões em iniciativas nacionais nas áreas de genômica e medicina de precisão.
Grandes conjuntos de dados provenientes de populações não chinesas são particularmente valiosos para a criação de modelos de IA e para melhorar a competitividade comercial global das empresas farmacêuticas e de biotecnologia chinesas.
Do ponto de vista de um invasor ou de serviços de inteligência estrangeiros, o UK Biobank é um ativo de “grande valor”: trata-se de um banco de dados cuidadosamente selecionado, de alta qualidade, com escala populacional e muito mais útil do que vazamentos aleatórios de dados. E como os dados genéticos são imutáveis (ao contrário de uma senha, não podem ser substituídos), qualquer violação tem utilidade de inteligência a muito longo prazo.
No ano passado, o jornal The Guardian informou que um em cada cinco pedidos de acesso aprovados ao UK Biobank provinha de entidades chinesas, incluindo a BGI, a principal empresa de genômica da China, que posteriormente foi incluída na Lista de Entidades dos EUA devido a preocupações sobre seu papel na vigilância de populações minoritárias.
A China não está apenas acumulando amostras de DNA por mera curiosidade. Ela está construindo um mapa genômico global que abrange tanto seus adversários quanto seus próprios cidadãos.
Seus dados genômicos
Tem havido grande preocupação com a possibilidade de dados genéticos caírem em mãos erradas, e com razão. Mas não vou dizer que disponibilizar voluntariamente seus dados médicos para pesquisa seja algo ruim. Os pesquisadores costumam fazer bom uso desses dados para ajudar outras pessoas.
Mas há algumas perguntas importantes a se fazer antes de fazer isso.
- Quem coordena o projeto e onde ele está sediado?
Prefiro biobancos sem fins lucrativos ou acadêmicos, com mandatos claros de interesse público e forte supervisão, em vez de corretores de dados comerciais opacos. - Como eles armazenam os dados coletados?
Pergunte especificamente sobre dados genômicos, arquivos brutos de sequenciamento, links para prontuários médicos e se os dados são criptografados tanto em repouso quanto em trânsito. - Quem pode acessar os dados e sob quais controles?
Procure por um comitê de acesso formal, contratos rigorosos e controles técnicos, como ambientes de análise seguros e opções limitadas de exportação, e não modelos do tipo “baixe o CSV e pronto”, como o que possibilitou o incidente do UK Biobank. - Entidades estrangeiras têm permissão para acessar ou copiar os dados?
À luz dos alertas dos governos dos EUA e do Reino Unido sobre o acesso chinês a dados genômicos ocidentais, é razoável questionar se os dados podem ser acessados, processados ou armazenados em jurisdições com diferentes padrões de segurança. - Como eles lidam com o risco de reidentificação?
Como já discutimos, “desidentificado” não é uma palavra mágica. Privacy e os serviços de inteligência dos EUA alertaram que os dados de saúde e genômicos podem, muitas vezes, ser reidentificados quando combinados com outros conjuntos de dados.
Se os dados que contêm seu DNA estiverem nas mãos de outra pessoa, você não poderá recuperá-los, mas poderá exigir uma gestão mais adequada e pressionar as instituições a tratarem os dados genômicos como informações confidenciais de nível de segurança nacional.
Isso também exige maior cautela em relação a golpes altamente direcionados. Os invasores podem usar grandes conjuntos de dados combinados para criar golpes convincentes de spear-phishing ou relacionados à saúde, por exemplo, entrando em contato com você sobre uma doença específica que você ou um membro da sua família tenha. Trate e-mails, ligações e aplicativos não solicitados relacionados à saúde ou ao DNA com extrema cautela.
O que os cibercriminosos sabem sobre você?
Use a verificação gratuita Digital Footprint Malwarebytes para verificar se suas informações pessoais foram expostas online.
