Como criminosos podem se aproveitarroleta para personalizartestesroleta para personalizarDNA para roubar dados genéticos:roleta para personalizar

O ataque parecia ser etnicamente dirigido. Golem se vangloriouroleta para personalizarter conseguido acesso às contasroleta para personalizarpessoas com antecedentes judeus asquenazes (com origem na Europa central e oriental), que haviam enviado seu DNA para a 23andMe. Ele ofereceu os dados à venda para quem tivesse condiçõesroleta para personalizarpagar.

Começaram a circular notícias indicando que o vazamentoroleta para personalizardadosroleta para personalizarsexta-feira, 6roleta para personalizaroutubroroleta para personalizar2023, pode até ter tido motivações antissemitas.

Uma postagem supostamente atribuída a Golem ofereceu para venda "agrupamentos étnicos direcionados, conjuntosroleta para personalizardados individualizados, estimativas indicadasroleta para personalizarorigem, detalhesroleta para personalizarhaplogrupos, informaçõesroleta para personalizarfenótipos, fotografias, links para centenasroleta para personalizarpossíveis parentes e, o principal, perfisroleta para personalizardados brutos".

Havia uma escalaroleta para personalizarpreços graduada, que variavaroleta para personalizar100 perfis por US$ 1 mil (cercaroleta para personalizarR$ 4,94 mil) até 100 mil perfis por US$ 100 mil (cercaroleta para personalizarR$ 494 mil).

"Estãoroleta para personalizaroferta os perfisroleta para personalizarDNAroleta para personalizarmilhõesroleta para personalizarpessoas, desde os principais magnatas corporativos do mundo até famílias frequentemente mencionadasroleta para personalizarteorias da conspiração", prosseguia a postagem, que já foi apagada.

Quatorze milhõesroleta para personalizarpessoas colocaramroleta para personalizarsalivaroleta para personalizarampolas e enviaram seu DNA para a 23andMe para análise,roleta para personalizarbuscaroleta para personalizarinformações sobreroleta para personalizarsaúde e ancestralidade. Muitas dessas pessoas não pensaram muito sobre o que estavam fornecendo para aquela empresa.

Minha sérieroleta para personalizarprogramasroleta para personalizarrádio sobre as consequências inesperadas dos testes domésticosroleta para personalizarDNA para a BBC Rádio 4 chama-se The Gift ("O Presente"), porque muitas pessoas dão esses kits casualmente aos amigos e parentes como presentesroleta para personalizarNatal eroleta para personalizaraniversário.

A empresa defineroleta para personalizarmissão como "ajudar as pessoas a ter acesso, compreender e se beneficiar do genoma humano".

Eu mesmo fiz um teste com a 23andMe enquanto gravava a série. Ele revelou minha própria ancestralidade judia asquenaze. Mas, agora, talvez os meus dados façam parteroleta para personalizarum pacote que um hacker tentou vender.

Esta situação me fez imaginar se informações sensíveis como nosso código genético poderão, algum dia, ser mantidasroleta para personalizarsegurança online.

Vazamentosroleta para personalizardados acontecem a todo momento, segundo o analistaroleta para personalizarameaças Brett Callow, da empresaroleta para personalizarcibersegurança Emsisoft. Para ele, "esses incidentes são muito comuns e nenhuma companhia está imune".

Mas as informações genéticas formam um tiporoleta para personalizardados muito especial. Você pode alterar suas senhas, seu númeroroleta para personalizarcartãoroleta para personalizarcrédito ou seus dados bancários se eles caírem nas mãosroleta para personalizarum hacker. Mas você não pode mudar aroleta para personalizarsequênciaroleta para personalizarDNA.

"Quando os seus dadosroleta para personalizarDNA vazam, não existe absolutamente nada que você possa fazer a respeito", afirma Callow.

A busca específicaroleta para personalizarqualquer grupo com base no que o seu DNA revela sobreroleta para personalizarancestralidade étnica seria algo profundamente preocupante.

A possibilidaderoleta para personalizarbuscaroleta para personalizarindivíduos com antecedentes judeus ou chineses no vazamento da 23andMe foi levantada por uma sérieroleta para personalizarfiguras importantes nos Estados Unidos, como o procurador-geral do Estadoroleta para personalizarConnecticut e um membro do Comitêroleta para personalizarSaúde, Educação, Trabalho e Pensões do Senado americano.

Muitas das teorias da conspiração antissemitas envolvem menções a aspectos genéticos dos judeus.

Durante o Holocausto, os nazistas forçaram os judeus a usar estrelas amarelas nas roupas para que pudessem ser imediatamente identificados.

Agora, um vazamentoroleta para personalizardados que incluísse estimativasroleta para personalizaretnia fornecidasroleta para personalizarrelatóriosroleta para personalizarancestralidade poderia fazer com que as pessoas judias que fizessem um testeroleta para personalizarDNA passassem a ter uma "estrela amarela digital" permanente ao lado dos seus nomes, fotografias e localização geográfica.

Antissemitismo ou autopromoção?

Com os dadosroleta para personalizarmetade dos clientes da 23andMe agora nas mãos dos cibercriminosos, o vazamento claramente afetou muito mais do que apenas os seus clientes judeus asquenazes.

Afinal,roleta para personalizarpostagens posteriores no fórum dos hackers, Golem supostamente ofereceu os dadosroleta para personalizarusuários britânicos, alemães e chineses do 23andMe, além da própria executiva-chefe da empresa, Anne Wojcicki, e do seu ex-marido, do fundador da Google, Sergey Brin,roleta para personalizarElon Musk eroleta para personalizarmembros da família real britânica.

Para Callow, este não foi um ataque antissemita.

"Não acredito que o ataque tivesse motivação racial, étnica ou algo similar", afirma ele. "A referência às pessoas judias nessa postagem foi para atrair a atenção, para conseguir mais visualizações."

A especialistaroleta para personalizarhackers Lily Hay Newman, da revista americana Wired, concorda.

"É comum tentar embalar e anunciar seus dados para tentar fazer com que outros criminosos os comprem, para que eles pareçam valiosos e atraentes", explica ela.

Quando surgiu a notícia do vazamentoroleta para personalizardados da 23andMe, a reação ficou relativamente ofuscada. Afinal, a atenção dos grupos judeus estava voltada para os ataques lançados pelo Hamas contra Israel naquele fimroleta para personalizarsemana e para o aumento dos incidentesroleta para personalizaródio antissemita nas semanas que se seguiram.

Jornalistas especializadosroleta para personalizartecnologia que monitoram o fórumroleta para personalizarhackers pediram comentários para a 23andMe e a empresa emitiu uma declaração.

Segundo ela, nenhum dado genético bruto vazou, mas categorias genéricas, como sexo, anoroleta para personalizarnascimento, resultadosroleta para personalizarancestralidade genética e localização geográfica, haviam caído nas mãosroleta para personalizarum chamado "interveniente ameaçador".

Enviei um pedidoroleta para personalizarentrevista para a 23andMe. Eles se recusaram a apresentar alguém, indicando um blog postado no site da empresa que vem sendo atualizado desde que surgiu a notícia do vazamentoroleta para personalizardados.

"O interveniente ameaçador conseguiu ter acesso a menosroleta para personalizar0,1%, ou cercaroleta para personalizar14 mil contasroleta para personalizarusuários do totalroleta para personalizar14 milhõesroleta para personalizarclientes da 23andMe por preenchimentoroleta para personalizarcredenciais", segundo a declaração da empresa.

"Ou seja, os nomesroleta para personalizarusuários e senhas que eram usados no site 23andMe.com eram os mesmos usadosroleta para personalizaroutros websites que foram anteriormente comprometidos ou disponibilizadosroleta para personalizaroutra forma."

Em outras palavras, o problema foi que os clientes da 23andMe reutilizaram senhas que os hackers haviam conseguido extrairroleta para personalizaroutros sites.

O preenchimentoroleta para personalizarcredenciais não é atividade hacker, estritamente falando.

"São os criminosos usando credenciaisroleta para personalizarlogin roubadas, como um nomeroleta para personalizarusuário e senha ou endereçoroleta para personalizare-mail e senha, para entrar pela porta da frente da conta", explica Newman. "Para isso,roleta para personalizarfato, não é preciso agir como hacker."

"Mas realmente sabemos que é muito difícil para os usuários administrar as senhas e que a culpa não deve ser colocada nos usuários", prossegue ele.

O vazamento da 23andMe acabou envolvendo muito mais que as 14 mil contas que a empresa afirmou inicialmente que estavam comprometidas.

Depoisroleta para personalizarse infiltrar nessas contas, o hacker conseguiu acumular um conjuntoroleta para personalizardados muito maior com uma função do site chamada Parentesroleta para personalizarDNA. Esta função permite que os titulares das contas se conectem com parentes genéticos. É uma função popular e é devido a ela que muitas pessoas acabam fazendo esses testes.

Em resposta às questões dos jornalistas do site TechCrunchroleta para personalizardezembroroleta para personalizar2023, a 23andMe admitiu que,roleta para personalizarfato, foram vazados os dadosroleta para personalizar6,9 milhõesroleta para personalizarusuários — cercaroleta para personalizaruma a cada duas pessoas que haviam enviado seu DNA para a empresa.

Verificaçãoroleta para personalizarduas etapas

Quando os bancosroleta para personalizardados guardam informações muito sensíveis, geralmente é preciso maisroleta para personalizaruma senha para ter acesso.

Imagine quando você entra naroleta para personalizarconta bancária online, por exemplo. A maioriaroleta para personalizarnós já se acostumou com a verificaçãoroleta para personalizarduas etapas, que usa uma confirmação adicional como um código recebidoroleta para personalizaruma mensagemroleta para personalizartexto ou um aplicativo autenticador.

Mas o acesso às contas da 23andMe não exigia a verificaçãoroleta para personalizarduas etapas até outubroroleta para personalizar2023 — mesmo com todos os dadosroleta para personalizarancestralidade genética acoplados às informações geográficas e biográficas ali armazenadas.

E esta não foi a primeira vezroleta para personalizarque as empresasroleta para personalizartestesroleta para personalizarDNA tiveram seus bancosroleta para personalizardados invadidos. Em 2018, vazaram os endereçosroleta para personalizare-mail e senhasroleta para personalizarmaisroleta para personalizar92 milhõesroleta para personalizarusuários da companhia MyHeritage.

Mas o vazamento da 23andMeroleta para personalizaroutubroroleta para personalizar2023 foi o primeiro casoroleta para personalizarque os hackers ofereceram os dados para venda.

No ano passado, a Comissão Federalroleta para personalizarComércio dos Estados Unidos tomou ações contra duas empresasroleta para personalizartestesroleta para personalizarDNA diretos aos consumidores, a CRI Genetics e a 1Health/Vitagene, por falhas na segurança dos dadosroleta para personalizarDNA.

Independentemente da motivação, qualquer vazamento envolvendo dados genéticos pode ter consequências muito amplas.

"Não há formaroleta para personalizarsaber quem tem acesso agora, quantas pessoas têm acesso ou o que eles podem decidir fazer com isso no futuro", segundo Callow.

"Em muitos casos, os dados genéticos realmente sugerem prognósticosroleta para personalizarsaúde. É algo que pode afetar a empregabilidaderoleta para personalizarlongo prazoroleta para personalizaruma pessoa ou talvez a probabilidaderoleta para personalizarmorrer cedo ouroleta para personalizarsofrer uma doença debilitadora. Potencialmente, esses dados podem serroleta para personalizarinteresse para empregadores ou seguradoras."

Em uma eraroleta para personalizarque cada vez mais decisões financeiras são tomadas por algoritmos que buscam todas as fontes possíveisroleta para personalizarinformações sobre um indivíduo, existe a séria possibilidaderoleta para personalizarprejuízos financeiros e discriminação decorrenteroleta para personalizarum vazamentoroleta para personalizardados genéticos.

As companhiasroleta para personalizarseguros-saúde dos Estados Unidos são impedidasroleta para personalizarusar informações genéticas para calcular riscos, mas não existe lei federal que proíba seu uso para o seguroroleta para personalizarvida.

Com isso, fica fácil imaginar o cenário: dados genéticos vazados podem aumentar os prêmiosroleta para personalizarseguro ou fazer com que a cobertura seja negada para certos clientes devido aos seus genes – ou pode ser rejeitada a concessãoroleta para personalizarhipoteca ou empréstimo bancárioroleta para personalizarlongo prazo porque os dados vazados sugerem maior probabilidaderoleta para personalizarque o tomador do empréstimo desenvolva malroleta para personalizarAlzheimer e venha a falecer antesroleta para personalizarpoder pagar totalmente o valor emprestado.

A 23andMe afirmou que o vazamentoroleta para personalizardados dos seus perfisroleta para personalizarusuários não incluiu o vazamentoroleta para personalizarperfisroleta para personalizarDNA brutos. Mas o hacker ainda teve acesso aos relatóriosroleta para personalizarancestralidade que fornecem estimativasroleta para personalizaretnicidade, localização geográfica, ligações a árvores genealógicas e outras informações pessoais.

"Sempre que as nossas informações pessoais são expostas, vazadas, hackeadas e entram no ecossistema criminal, elas alimentam o rouboroleta para personalizaridentidade", afirma Newman.

"Mesmo informações amplas, dados geográficos, informações regionais ou questões étnicas podem alimentar a customizaçãoroleta para personalizargolpes para tentar enganar você."

A 23andMe agora enfrenta diversas ações judiciais coletivas nos Estados Unidos,roleta para personalizarconsequência do vazamentoroleta para personalizardados.

Em janeiro, a empresa admitiu que os hackers começaram a se infiltrar nas contas dos seus clientesroleta para personalizarabrilroleta para personalizar2023 e conseguiram prosseguir por cinco meses sem que fossem detectados.

"Proteger a segurança e a privacidade dos dados dos nossos clientes permanece sendo total prioridade da 23andMe e continuaremos a investir na proteção dos nossos sistemas e dados", afirma a empresa.

Agora, o sistema exige a verificaçãoroleta para personalizarduas etapas para que todos os clientes tenham acesso às suas contas, da mesma forma que seus concorrentes, a Ancestry e a MyHeritage. Nenhuma dessas empresas fazia essa exigência antesroleta para personalizaroutubroroleta para personalizar2023.

Mas os pesquisadores também identificaram recentemente outras formas que podem possibilitar a reuniãoroleta para personalizarinformações genéticas das pessoas, mantidas pelos serviços genéticos diretos ao consumidor final.

Um estudoroleta para personalizarcientistas da Universidade da Califórniaroleta para personalizarDavis, nos Estados Unidos, demonstrou que é possível reconstruir partes do genomaroleta para personalizaruma pessoa se o "adversário" carregar diversos genomas falsificados para identificar coincidências com "parentes".

Ativos empresariais

Mesmo se fosse possível manter dados sensíveis como o nosso código genéticoroleta para personalizarsegurança contra os hackers, não há garantiaroleta para personalizarque, quando concordamosroleta para personalizarcompartilhá-los com uma empresa, eles irão permanecer na posse dela.

"Essas companhias podem ser compradas – as informações poderiam ser adquiridas desta forma", argumenta Callow.

Em dezembroroleta para personalizar2020, a empresaroleta para personalizarinvestimentosroleta para personalizarNova York Blackstone comprou a Ancestry, um dos maiores concorrentes da 23andMe, por US$ 4,7 bilhões (cercaroleta para personalizarR$ 23,2 bilhões).

"Além dos dados, essas empresas realmente têm muito pouco valor", afirma Callow.

"Elas são totalmente impulsionadas pelos dados. Os detalhes genéticos agora podem ser vendidos, comercializados, adquiridos com outros ativos e propriedade intelectual das empresas. O DNA tem valor e esse valor pertence à empresa, não a você."

A Blackstone recusou um pedidoroleta para personalizarcomentários apresentado pela BBC a este respeito.

Embora a ideiaroleta para personalizarque meus genes agora existem como ativoroleta para personalizaruma empresa é um tanto perturbadora. Mas eu sabia o risco que poderia estar correndo antesroleta para personalizarenviar o meu DNA para a Ancestry e a 23andMe.

Nenhuma das pessoas com quem conversei para minha série para a BBC lamentou ter realizado um testeroleta para personalizarDNA doméstico. Saber quem seus genes dizem que eles são e como eles estão conectados ao mundo mudou a vida deles e valeu a pena qualquer possível risco.

Mesmo se você não tiver feito algum desses testes, é provável que você tenha algum parente próximo que tenha feito — e uma versão muito próxima do seu código genético pode estar armazenadaroleta para personalizarum bancoroleta para personalizardados corporativo.

Os seus genes talvez já estejam espalhados por aí,roleta para personalizaralguma forma. Quem sabe onde eles irão parar?

Ouça a série The Gift, da BBC Rádio 4 (em inglês), que deu origem a esta reportagem, no site BBC Sounds. O episódio especial intitulado Hacked trata do vazamentoroleta para personalizardados da 23andMe e discute se as informações genéticas podem ser mantidasroleta para personalizarsegurança online.

Leia a versão original desta reportagem (em inglês) no site BBC Future.