حادثه 23andMe محدودیت های ژنتیکی حریم خصوصی را برجسته می کند

وب سایت 23andMe می گوید: “داده های شما به شدت توسط امنیت محافظت می شود.” با این حال، نقض امنیتی اخیر در یک شرکت آزمایش ژنتیک مستقیم به مصرف کننده، پیامدهای گسترده ای در حفظ حریم خصوصی برای کسانی که ژنوم خود را توالی می کنند و آنهایی که انجام نمی دهند، دارد.

این نقض محدودیت های تدابیر امنیتی تعیین شده را زیر سوال می برد. همچنین موضوع اخلاقی گسترده تری را برجسته می کند. در عصری که آزمایش ژنتیک به امری عادی تبدیل شده است، تصمیم به اشتراک گذاری DNA شما پیامدهایی برای خویشاوندان شما دارد و به طور بالقوه آنها را از اختیار انتخاب حریم خصوصی محروم می کند.

افشای شرکت و تعداد قربانیان:

در اکتبر 2023، 23andMe خبر نگران‌کننده نقض داده‌ها را تأیید کرد که اطلاعات شخصی 0.1٪ از مشتریان خود، تقریباً 14000 نفر را فاش کرد.

در این ماه، شرکت در حین کار با یک حسابرس شخص ثالث، شبکه گسترده تری از قربانیان را فاش کرد. علاوه بر 14000 اولیه، 23andMe گفت که “تعداد قابل توجهی از فایل های حاوی اطلاعات نمایه در مورد منشاء سایر کاربران” نیز توسط هکرها (از طریق TechCrunch). این «کاربران دیگر» احتمالاً از نظر ژنتیکی با قربانیانی مرتبط بودند که برای ویژگی DNA نسبی ثبت نام کرده بودند.

CC از 4.0

ویژگی نسبی DNA که برای مشتریان طراحی شده است تا داده های انتخاب شده از جمله نام، بستگان، سال تولد و مکان را به اشتراک بگذارند، سهواً به هکرها امکان دسترسی بیشتر به اطلاعات شخصی را می دهد. با استفاده از این ویژگی، آنها اطلاعات ژنتیکی 5.5 میلیون نفر را در پایگاه داده 23andMe به دست آوردند.

با افزودن یک لایه دیگر به این نقض، 1.4 میلیون نفر دیگر متوجه شدند که نمایه های شجره نامه آنها در معرض خطر قرار گرفته است و به تعداد کل کاربران آسیب دیده اضافه می شود. این تعداد قربانیان را به 6.9 میلیون نفر رساند که تقریباً نیمی از مشتریان 23andMe است.

علاوه بر نام، سال تولد، پیوندهای خانوادگی و DNA مشترک با بستگان، این نقض شامل داده های بهداشتی حساسی بود که به طور بالقوه خطرات بیماری هایی مانند دیابت نوع 2 یا بیماری سلیاک را آشکار می کرد.

مقیاس این نقض به عنوان یادآوری آشکار از آسیب پذیری های ذاتی در پایگاه داده های DNA در مقیاس بزرگ است. این امر باعث تأمل انتقادی در مورد تعادل بین پیشرفت علمی و حفاظت از داده های شخصی می شود.

تاکتیک های هک و پاسخ شرکت:

هکرها با استفاده از مواردی که کاربران اعتبار ورود به سیستم را در چندین پلتفرم از جمله 23andMe.com. در پاسخ، 23andMe در وبلاگ خود اعلام کرد که اقدامات امنیتی سخت گیرانه تری از جمله تأیید اجباری دو مرحله ای و بازنشانی رمز عبور برای همه مشتریان اجرا خواهد شد.

تکیه بر DNA و سپس حقوق خود:

پایگاه داده های DNA چیز جدیدی نیستند. نسب شناسان حرفه ای و آماتور سال ها از سایت هایی مانند GEDmatch و FamilyTreeDNA به عنوان منابع رایگان و کاربر محور استفاده کرده اند. سازمان های مجری قانون پایگاه داده DNA خود را از افراد محکوم و دستگیر شده، مانند سیستم فهرست ترکیبی DNA (CODIS) دارند. با این حال، پرونده‌های پرمخاطب اخیر، مانند شناسایی قاتل گلدن استیت، تأیید کرده است که سازمان‌های مجری قانون برای تحقیقات شجره‌شناسی ژنتیکی پزشکی قانونی به این ارائه‌دهندگان شخص ثالث مراجعه می‌کنند. بدون نیاز به حکم، این سایت‌ها برای حل و فصل پرونده‌های معلق مفید هستند. هنگامی که به عنوان یک ابزار اجرای قانون استفاده می شود، پایگاه داده های DNA مستقیم به مصرف کننده، نگرانی هایی را در مورد حفظ حریم خصوصی ایجاد می کند.

در حالی که سایت هایی مانند Ancestry.com و 23andMe می گویند که اطلاعات ژنتیکی را برای مجریان قانون منتشر نکرده اند، سایت های داده باز مانند GEDmatch و FamilyTreeDNA به طور رایگان در دسترس پلیس هستند. Qiagen، شرکت مادر GEDmatch، اعتراف می کند که 1.8 میلیون پروفایل، تقریبا 70 درصد از پایگاه داده کاربران آنها، برای مجریان قانون قابل مشاهده است. این اطلاعات شامل «داده‌های خام» که جزئیات کد ژنتیکی را توصیف می‌کند، نمی‌شود، بلکه شامل روابط خویشاوندی (از طریق علوم پایه).

تحقیقات چالش های حریم خصوصی را پیدا می کند:

دانشمندان با بررسی مواد مخدر به جای مجرمان، اغلب از پایگاه داده های DNA برای تحقیقات خود استفاده می کنند. به عنوان مثال، پایگاه داده تجمع ژنوم (gnomAD) داده های ژنتیکی بیش از 60000 نفر را ذخیره می کند (از طریق روزنامه گاردین). محققان در سال 2014 از این استخر ژنتیکی برای مطالعه ژن های مرتبط با کاردیومیوپاتی استفاده کردند. در سال 2016، تحقیقات با استفاده از این منبع شناسایی شد نشانگرهای بیماری مرتبط بالینی. بدون هیچ گونه ویژگی شناسایی برای پیوند داده های DNA به یک فرد درگیر، به نظر می رسد این داده های توالی یابی اگزوم و ژنوم فقط برای تحقیقات مفید هستند.

با این حال، هک اخیر داده های ژنتیکی خطرات مرتبط با توزیع گسترده DNA و اطلاعات شجره نامه را برجسته می کند. برخلاف آزمایش‌های ژنتیکی سنتی که بر روی ژن‌های فردی تمرکز می‌کند، آزمایش جدید در سطح ژنوم، افراد را در معرض خطر شناسایی مجدد حتی بدون شناسه‌های معمولی مانند نام یا تاریخ تولد قرار می‌دهد. همچنین مسئولیت حفاظت از حریم خصوصی اعضای بیولوژیکی خانواده نیز وجود دارد. توانایی شناسایی افراد از طریق ارجاع متقابل پیشرفته توالی های DNA منحصر به فرد، همانطور که توسط محققان دانشگاه کلمبیا نشان داده شده است، مرز جدیدی را در مسائل حریم خصوصی ژنتیکی باز می کند.

مطالعه ای که توسط دانشمندان دانشگاه کلمبیا انجام شده است آمار جالبی را فاش کرد – افراد اروپایی تبار در ایالات متحده با 60 درصد شانس داشتن حداقل پسر عموی سوم در پایگاه داده DNA روبرو هستند.

برای نشان دادن دسترسی به پایگاه‌های داده DNA فعلی، این محققان نشان دادند که جستجوی طولانی‌مدت خانواده می‌تواند برای یک عضو پایگاه داده تصادفی نشان دهد. این پروژه 1000 ژنوم یک پایگاه داده DNA است که با استفاده از نمونه های داوطلبانه ارائه شده از افراد سالم گزارش شده به عنوان مخزن تغییرات ژنتیکی مشترک انسان عمل می کند.

محققان کلمبیا با شروع تحقیقات خود با مشخصات DNA یک شرکت کننده ناشناس در پروژه 1000 ژنوم، از اطلاعات یک پایگاه داده DNA مستقیم به مصرف کننده برای یافتن خویشاوندان دور با ویژگی های ژنتیکی مشترک استفاده کردند. پس از یک روز نقشه برداری دقیق شجره نامه با سوابق شجره نامه ای در دسترس عموم، محققان سوابق این بستگان را به یک پدربزرگ و مادربزرگ مشترک ردیابی کردند و با موفقیت زن مورد نظر را شناسایی کردند. این شواهد قانع‌کننده تأثیر موج‌دار اطلاعات مشترک DNA را نشان می‌دهد و اینکه چگونه انتخاب بستگان دور بر کل شجره خانوادگی تأثیر می‌گذارد – از جمله کسانی که تصمیم می‌گیرند داده‌های ژنتیکی خود را فاش نکنند.

تبعیض، مقررات و محیط قانونی:

دولت، مجری قانون، شرکت های بیمه، کارفرمایان و افراد رادیکال می توانند بر اساس اطلاعات DNA آزادانه در دسترس، تبعیض قائل شوند.

بازیگران بد مسئول نقض حریم خصوصی 23andMe خطر هدف گیری نژادی را معرفی می کنند. در وب سایت BreachForum، یک لاف زن نمونه ای از داده هایی را که ادعا می کرد از 23andMe دزدیده است، منتشر کرد. پوستر ناشناس داده ها را حاوی 1 میلیون نقطه داده برای یهودیان اشکنازی و بیشتر برای افراد چینی تبار توصیف می کند (از طریق با کابل). هکر این جسارت را داشت که از 1 تا 10 دلار برای اطلاعات تبعیض آمیز در مورد یک فرد تصادفی درخواست کند.

از بازیگران بد گرفته تا شرکت های بد، نظارت دولت بر سوء استفاده از پایگاه داده DNA محدود است. قانون عدم تبعیض اطلاعات ژنتیکی (GINA) در سال 2008، که از تبعیض در بیمه درمانی و اشتغال محافظت می کند، از شرکت های بیمه عمر که از پروفایل های DNA برای تصمیم گیری های پوشش استفاده می کنند محافظت نمی کند. سیاست “موقت” وزارت دادگستری برای محدود کردن استفاده از این پایگاه‌های اطلاعاتی DNA توسط سازمان‌های مجری قانون، بی‌سابقه بوده و نگرانی‌هایی را در مورد نیاز به نظارت مستقل قضایی افزایش داده است.

درخواست ها برای مقررات قوی برای محافظت از حریم خصوصی و تحقیقات پزشکی در حال افزایش است. مریلند در سال 2021 با تنظیم مقررات استفاده مجریان قانون از پایگاه‌های داده DNA مصرف‌کننده و محدود کردن جست‌وجوها به تهدیدات مهم برای امنیت عمومی یا امنیت ملی، گامی برداشت.

انتظارات از بین رفته حریم خصوصی:

برت کالو، تحلیلگر تهدید در شرکت امنیتی Emsisoft (از طریق با کابل). این واقعیت که طبق گزارش‌ها حساب‌ها از ویژگی «بستگان DNA» استفاده کرده‌اند، به‌ویژه نگران‌کننده است، زیرا می‌تواند منجر به انتشار اطلاعات بسیار حساس شود.»

نقض 23andMe یک یادآوری آشکار است که حفظ حریم خصوصی DNA تضمین شده بعید است. رویدادهای غیرمنتظره می توانند به سرعت منجر به انتشار اطلاعات ژنتیکی شما بدون رضایت شما شوند: نقض داده ها، تغییر در قوانین ملی یا بین المللی، نفوذ بیش از حد دولت یا مجری قانون.

تایید هویت شما با نام دختر مادرتان احتمالاً مربوط به گذشته خواهد بود، زیرا آزمایشات ژنتیکی رایج تر می شود. نقض داده های 23andMe نیاز مبرم به مقررات جامع را آشکار می کند، مانند محدودیت های قانونی صریح در استفاده از شجره نامه ژنتیکی خانواده و جستجوهای خانوادگی که در مریلند و مونتانا (از طریق اف).

از آنجایی که ناشناس بودن ژنتیکی به یادگاری از گذشته تبدیل می شود، دانشمندان از اقداماتی برای محافظت از داده های بیمار حمایت می کنند و در عین حال اجازه می دهند تحقیقات پزشکی ادامه یابد. برخی پیشنهاد می کنند که ارائه دهندگان مستقیم به مصرف کننده به صورت رمزنگاری اطلاعات ژنوتیپ خام را امضا کنند که می تواند توسط خدمات شخص ثالث شناسایی شود (از طریق علوم پایه).

این پیشرفت و پیشرفت های دیگر به زودی به میلیون ها نفر می آموزد که وقتی DNA شما کنترل شما و آزمایشگاه ژنتیک را ترک می کند، تمام انتظارات از حریم خصوصی از بین می رود.

منابع: 23andMe (1)(2) بلومبرگ، TechCrunchعلوم پایه (1) (2) (3) فوربس، مریلند.gov، ژنتیک در پزشکی، روزنامه گاردین، شیمی بالینی، پست پالم بیچسیمی (1)(2).