Como criminosos podem se aproveitarapostas cs gotestesapostas cs goDNA para roubar dados genéticos:apostas cs go

O ataque parecia ser etnicamente dirigido. Golem se vangloriouapostas cs goter conseguido acesso às contasapostas cs gopessoas com antecedentes judeus asquenazes (com origem na Europa central e oriental), que haviam enviado seu DNA para a 23andMe. Ele ofereceu os dados à venda para quem tivesse condiçõesapostas cs gopagar.

Começaram a circular notícias indicando que o vazamentoapostas cs godadosapostas cs gosexta-feira, 6apostas cs gooutubroapostas cs go2023, pode até ter tido motivações antissemitas.

Uma postagem supostamente atribuída a Golem ofereceu para venda "agrupamentos étnicos direcionados, conjuntosapostas cs godados individualizados, estimativas indicadasapostas cs goorigem, detalhesapostas cs gohaplogrupos, informaçõesapostas cs gofenótipos, fotografias, links para centenasapostas cs gopossíveis parentes e, o principal, perfisapostas cs godados brutos".

Havia uma escalaapostas cs gopreços graduada, que variavaapostas cs go100 perfis por US$ 1 mil (cercaapostas cs goR$ 4,94 mil) até 100 mil perfis por US$ 100 mil (cercaapostas cs goR$ 494 mil).

"Estãoapostas cs gooferta os perfisapostas cs goDNAapostas cs gomilhõesapostas cs gopessoas, desde os principais magnatas corporativos do mundo até famílias frequentemente mencionadasapostas cs goteorias da conspiração", prosseguia a postagem, que já foi apagada.

Quatorze milhõesapostas cs gopessoas colocaramapostas cs gosalivaapostas cs goampolas e enviaram seu DNA para a 23andMe para análise,apostas cs gobuscaapostas cs goinformações sobreapostas cs gosaúde e ancestralidade. Muitas dessas pessoas não pensaram muito sobre o que estavam fornecendo para aquela empresa.

Minha sérieapostas cs goprogramasapostas cs gorádio sobre as consequências inesperadas dos testes domésticosapostas cs goDNA para a BBC Rádio 4 chama-se The Gift ("O Presente"), porque muitas pessoas dão esses kits casualmente aos amigos e parentes como presentesapostas cs goNatal eapostas cs goaniversário.

A empresa defineapostas cs gomissão como "ajudar as pessoas a ter acesso, compreender e se beneficiar do genoma humano".

Eu mesmo fiz um teste com a 23andMe enquanto gravava a série. Ele revelou minha própria ancestralidade judia asquenaze. Mas, agora, talvez os meus dados façam parteapostas cs goum pacote que um hacker tentou vender.

Esta situação me fez imaginar se informações sensíveis como nosso código genético poderão, algum dia, ser mantidasapostas cs gosegurança online.

Vazamentosapostas cs godados acontecem a todo momento, segundo o analistaapostas cs goameaças Brett Callow, da empresaapostas cs gocibersegurança Emsisoft. Para ele, "esses incidentes são muito comuns e nenhuma companhia está imune".

Mas as informações genéticas formam um tipoapostas cs godados muito especial. Você pode alterar suas senhas, seu númeroapostas cs gocartãoapostas cs gocrédito ou seus dados bancários se eles caírem nas mãosapostas cs goum hacker. Mas você não pode mudar aapostas cs gosequênciaapostas cs goDNA.

"Quando os seus dadosapostas cs goDNA vazam, não existe absolutamente nada que você possa fazer a respeito", afirma Callow.

A busca específicaapostas cs goqualquer grupo com base no que o seu DNA revela sobreapostas cs goancestralidade étnica seria algo profundamente preocupante.

A possibilidadeapostas cs gobuscaapostas cs goindivíduos com antecedentes judeus ou chineses no vazamento da 23andMe foi levantada por uma sérieapostas cs gofiguras importantes nos Estados Unidos, como o procurador-geral do Estadoapostas cs goConnecticut e um membro do Comitêapostas cs goSaúde, Educação, Trabalho e Pensões do Senado americano.

Muitas das teorias da conspiração antissemitas envolvem menções a aspectos genéticos dos judeus.

Durante o Holocausto, os nazistas forçaram os judeus a usar estrelas amarelas nas roupas para que pudessem ser imediatamente identificados.

Agora, um vazamentoapostas cs godados que incluísse estimativasapostas cs goetnia fornecidasapostas cs gorelatóriosapostas cs goancestralidade poderia fazer com que as pessoas judias que fizessem um testeapostas cs goDNA passassem a ter uma "estrela amarela digital" permanente ao lado dos seus nomes, fotografias e localização geográfica.

Antissemitismo ou autopromoção?

Com os dadosapostas cs gometade dos clientes da 23andMe agora nas mãos dos cibercriminosos, o vazamento claramente afetou muito mais do que apenas os seus clientes judeus asquenazes.

Afinal,apostas cs gopostagens posteriores no fórum dos hackers, Golem supostamente ofereceu os dadosapostas cs gousuários britânicos, alemães e chineses do 23andMe, além da própria executiva-chefe da empresa, Anne Wojcicki, e do seu ex-marido, do fundador da Google, Sergey Brin,apostas cs goElon Musk eapostas cs gomembros da família real britânica.

Para Callow, este não foi um ataque antissemita.

"Não acredito que o ataque tivesse motivação racial, étnica ou algo similar", afirma ele. "A referência às pessoas judias nessa postagem foi para atrair a atenção, para conseguir mais visualizações."

A especialistaapostas cs gohackers Lily Hay Newman, da revista americana Wired, concorda.

"É comum tentar embalar e anunciar seus dados para tentar fazer com que outros criminosos os comprem, para que eles pareçam valiosos e atraentes", explica ela.

Quando surgiu a notícia do vazamentoapostas cs godados da 23andMe, a reação ficou relativamente ofuscada. Afinal, a atenção dos grupos judeus estava voltada para os ataques lançados pelo Hamas contra Israel naquele fimapostas cs gosemana e para o aumento dos incidentesapostas cs goódio antissemita nas semanas que se seguiram.

Jornalistas especializadosapostas cs gotecnologia que monitoram o fórumapostas cs gohackers pediram comentários para a 23andMe e a empresa emitiu uma declaração.

Segundo ela, nenhum dado genético bruto vazou, mas categorias genéricas, como sexo, anoapostas cs gonascimento, resultadosapostas cs goancestralidade genética e localização geográfica, haviam caído nas mãosapostas cs goum chamado "interveniente ameaçador".

Enviei um pedidoapostas cs goentrevista para a 23andMe. Eles se recusaram a apresentar alguém, indicando um blog postado no site da empresa que vem sendo atualizado desde que surgiu a notícia do vazamentoapostas cs godados.

"O interveniente ameaçador conseguiu ter acesso a menosapostas cs go0,1%, ou cercaapostas cs go14 mil contasapostas cs gousuários do totalapostas cs go14 milhõesapostas cs goclientes da 23andMe por preenchimentoapostas cs gocredenciais", segundo a declaração da empresa.

"Ou seja, os nomesapostas cs gousuários e senhas que eram usados no site 23andMe.com eram os mesmos usadosapostas cs gooutros websites que foram anteriormente comprometidos ou disponibilizadosapostas cs gooutra forma."

Em outras palavras, o problema foi que os clientes da 23andMe reutilizaram senhas que os hackers haviam conseguido extrairapostas cs gooutros sites.

O preenchimentoapostas cs gocredenciais não é atividade hacker, estritamente falando.

"São os criminosos usando credenciaisapostas cs gologin roubadas, como um nomeapostas cs gousuário e senha ou endereçoapostas cs goe-mail e senha, para entrar pela porta da frente da conta", explica Newman. "Para isso,apostas cs gofato, não é preciso agir como hacker."

"Mas realmente sabemos que é muito difícil para os usuários administrar as senhas e que a culpa não deve ser colocada nos usuários", prossegue ele.

O vazamento da 23andMe acabou envolvendo muito mais que as 14 mil contas que a empresa afirmou inicialmente que estavam comprometidas.

Depoisapostas cs gose infiltrar nessas contas, o hacker conseguiu acumular um conjuntoapostas cs godados muito maior com uma função do site chamada Parentesapostas cs goDNA. Esta função permite que os titulares das contas se conectem com parentes genéticos. É uma função popular e é devido a ela que muitas pessoas acabam fazendo esses testes.

Em resposta às questões dos jornalistas do site TechCrunchapostas cs godezembroapostas cs go2023, a 23andMe admitiu que,apostas cs gofato, foram vazados os dadosapostas cs go6,9 milhõesapostas cs gousuários — cercaapostas cs gouma a cada duas pessoas que haviam enviado seu DNA para a empresa.

Verificaçãoapostas cs goduas etapas

Quando os bancosapostas cs godados guardam informações muito sensíveis, geralmente é preciso maisapostas cs gouma senha para ter acesso.

Imagine quando você entra naapostas cs goconta bancária online, por exemplo. A maioriaapostas cs gonós já se acostumou com a verificaçãoapostas cs goduas etapas, que usa uma confirmação adicional como um código recebidoapostas cs gouma mensagemapostas cs gotexto ou um aplicativo autenticador.

Mas o acesso às contas da 23andMe não exigia a verificaçãoapostas cs goduas etapas até outubroapostas cs go2023 — mesmo com todos os dadosapostas cs goancestralidade genética acoplados às informações geográficas e biográficas ali armazenadas.

E esta não foi a primeira vezapostas cs goque as empresasapostas cs gotestesapostas cs goDNA tiveram seus bancosapostas cs godados invadidos. Em 2018, vazaram os endereçosapostas cs goe-mail e senhasapostas cs gomaisapostas cs go92 milhõesapostas cs gousuários da companhia MyHeritage.

Mas o vazamento da 23andMeapostas cs gooutubroapostas cs go2023 foi o primeiro casoapostas cs goque os hackers ofereceram os dados para venda.

No ano passado, a Comissão Federalapostas cs goComércio dos Estados Unidos tomou ações contra duas empresasapostas cs gotestesapostas cs goDNA diretos aos consumidores, a CRI Genetics e a 1Health/Vitagene, por falhas na segurança dos dadosapostas cs goDNA.

Independentemente da motivação, qualquer vazamento envolvendo dados genéticos pode ter consequências muito amplas.

"Não há formaapostas cs gosaber quem tem acesso agora, quantas pessoas têm acesso ou o que eles podem decidir fazer com isso no futuro", segundo Callow.

"Em muitos casos, os dados genéticos realmente sugerem prognósticosapostas cs gosaúde. É algo que pode afetar a empregabilidadeapostas cs golongo prazoapostas cs gouma pessoa ou talvez a probabilidadeapostas cs gomorrer cedo ouapostas cs gosofrer uma doença debilitadora. Potencialmente, esses dados podem serapostas cs gointeresse para empregadores ou seguradoras."

Em uma eraapostas cs goque cada vez mais decisões financeiras são tomadas por algoritmos que buscam todas as fontes possíveisapostas cs goinformações sobre um indivíduo, existe a séria possibilidadeapostas cs goprejuízos financeiros e discriminação decorrenteapostas cs goum vazamentoapostas cs godados genéticos.

As companhiasapostas cs goseguros-saúde dos Estados Unidos são impedidasapostas cs gousar informações genéticas para calcular riscos, mas não existe lei federal que proíba seu uso para o seguroapostas cs govida.

Com isso, fica fácil imaginar o cenário: dados genéticos vazados podem aumentar os prêmiosapostas cs goseguro ou fazer com que a cobertura seja negada para certos clientes devido aos seus genes – ou pode ser rejeitada a concessãoapostas cs gohipoteca ou empréstimo bancárioapostas cs golongo prazo porque os dados vazados sugerem maior probabilidadeapostas cs goque o tomador do empréstimo desenvolva malapostas cs goAlzheimer e venha a falecer antesapostas cs gopoder pagar totalmente o valor emprestado.

A 23andMe afirmou que o vazamentoapostas cs godados dos seus perfisapostas cs gousuários não incluiu o vazamentoapostas cs goperfisapostas cs goDNA brutos. Mas o hacker ainda teve acesso aos relatóriosapostas cs goancestralidade que fornecem estimativasapostas cs goetnicidade, localização geográfica, ligações a árvores genealógicas e outras informações pessoais.

"Sempre que as nossas informações pessoais são expostas, vazadas, hackeadas e entram no ecossistema criminal, elas alimentam o rouboapostas cs goidentidade", afirma Newman.

"Mesmo informações amplas, dados geográficos, informações regionais ou questões étnicas podem alimentar a customizaçãoapostas cs gogolpes para tentar enganar você."

A 23andMe agora enfrenta diversas ações judiciais coletivas nos Estados Unidos,apostas cs goconsequência do vazamentoapostas cs godados.

Em janeiro, a empresa admitiu que os hackers começaram a se infiltrar nas contas dos seus clientesapostas cs goabrilapostas cs go2023 e conseguiram prosseguir por cinco meses sem que fossem detectados.

"Proteger a segurança e a privacidade dos dados dos nossos clientes permanece sendo total prioridade da 23andMe e continuaremos a investir na proteção dos nossos sistemas e dados", afirma a empresa.

Agora, o sistema exige a verificaçãoapostas cs goduas etapas para que todos os clientes tenham acesso às suas contas, da mesma forma que seus concorrentes, a Ancestry e a MyHeritage. Nenhuma dessas empresas fazia essa exigência antesapostas cs gooutubroapostas cs go2023.

Mas os pesquisadores também identificaram recentemente outras formas que podem possibilitar a reuniãoapostas cs goinformações genéticas das pessoas, mantidas pelos serviços genéticos diretos ao consumidor final.

Um estudoapostas cs gocientistas da Universidade da Califórniaapostas cs goDavis, nos Estados Unidos, demonstrou que é possível reconstruir partes do genomaapostas cs gouma pessoa se o "adversário" carregar diversos genomas falsificados para identificar coincidências com "parentes".

Ativos empresariais

Mesmo se fosse possível manter dados sensíveis como o nosso código genéticoapostas cs gosegurança contra os hackers, não há garantiaapostas cs goque, quando concordamosapostas cs gocompartilhá-los com uma empresa, eles irão permanecer na posse dela.

"Essas companhias podem ser compradas – as informações poderiam ser adquiridas desta forma", argumenta Callow.

Em dezembroapostas cs go2020, a empresaapostas cs goinvestimentosapostas cs goNova York Blackstone comprou a Ancestry, um dos maiores concorrentes da 23andMe, por US$ 4,7 bilhões (cercaapostas cs goR$ 23,2 bilhões).

"Além dos dados, essas empresas realmente têm muito pouco valor", afirma Callow.

"Elas são totalmente impulsionadas pelos dados. Os detalhes genéticos agora podem ser vendidos, comercializados, adquiridos com outros ativos e propriedade intelectual das empresas. O DNA tem valor e esse valor pertence à empresa, não a você."

A Blackstone recusou um pedidoapostas cs gocomentários apresentado pela BBC a este respeito.

Embora a ideiaapostas cs goque meus genes agora existem como ativoapostas cs gouma empresa é um tanto perturbadora. Mas eu sabia o risco que poderia estar correndo antesapostas cs goenviar o meu DNA para a Ancestry e a 23andMe.

Nenhuma das pessoas com quem conversei para minha série para a BBC lamentou ter realizado um testeapostas cs goDNA doméstico. Saber quem seus genes dizem que eles são e como eles estão conectados ao mundo mudou a vida deles e valeu a pena qualquer possível risco.

Mesmo se você não tiver feito algum desses testes, é provável que você tenha algum parente próximo que tenha feito — e uma versão muito próxima do seu código genético pode estar armazenadaapostas cs goum bancoapostas cs godados corporativo.

Os seus genes talvez já estejam espalhados por aí,apostas cs goalguma forma. Quem sabe onde eles irão parar?

Ouça a série The Gift, da BBC Rádio 4 (em inglês), que deu origem a esta reportagem, no site BBC Sounds. O episódio especial intitulado Hacked trata do vazamentoapostas cs godados da 23andMe e discute se as informações genéticas podem ser mantidasapostas cs gosegurança online.

Leia a versão original desta reportagem (em inglês) no site BBC Future.