سرقت اطلاعات ژنتیکی؛ کابوس امنیتی دیگری در راه است

شرکت ارائه دهنده خدمات تست DNA به نام MyHeritage به تازگی اعلام کرده که هکرها توانسته اند اطلاعات بیش از 92 میلیون حساب کاربری آنها را به سرقت ببرند. البته هکرها تنها به آدرس های ایمیل و رمزهای عبور، آن هم به شکل رمزگذاری شده دست پیدا کرده و به اطلاعات ژنتیکی افراد نرسیده اند، ولی این واقعه سؤال مهمی را در حوزه امنیت به وجود آورده است.

شکی نیست که حملاتی از این دست به داده های حساسی مانند اطلاعات ژنتیکی، در آینده هم از نظر تعداد و هم از نظر شدت، پیشرفت قابل ملاحظه ای خواهند داشت، چون جمع آوری و کاربرد این داده ها طی سالیان اخیر بسیار بیشتر شده. حتی می توان انتظار داشت که حملات به شکل سازمان یافته و هدفمند روی اطلاعات DNA افراد خاص انجام شود. سؤال اینجاست که هَک شدن یا سرقت اطلاعات DNA چه عواقبی دارد؟

پروفسور «جیووانی وینیا» استاد علوم کامپیوتر در دانشگاه کالیفرنیا - سانتا باربارا و مؤسس شرکت امنیت سایبری «لست لاین» (Lastline) می گوید یکی از ساده ترین انگیزه های هکرها برای سرقت اطلاعات ژنتیکی، باج گیری در قبال داده های DNA است. اگر شما پول درخواستی سارقین را نپردازید، دسترسی به این اطلاعات ارزشمند را برای همیشه از دست می دهید یا اینکه داده ها در فضای وب منتشر می شوند. اوایل سال جاری میلادی بیمارستان هانکوک در ایالت ایندیانای آمریکا مجبور شد 4 بیتکوین (معادل 55000 دلار در آن زمان) به هکرها بپردازد تا دوباره به 1400 فایل قفل شده روی سرورهایش دسترسی پیدا کند.

با این حال دلایل دیگری هم برای حساسیت بیشتر داده های ژنتیکی وجود دارد. وینیا می گوید این قبیل اطلاعات در بازار سیاه به خوبی به فروش می رسند، ضمن اینکه شرکت های بیمه هم از مشتریان اصلی چنین داده هایی به شمار می روند. یکی از سناریوهای احتمالی چنین است:

فرض کنید یک روز برای دریافت وام با دوره بازپرداخت طولانی به بانک یا مؤسسه اعتباری می روید، ولی با درخواست شما موافقت نمی شود. پس از پیگیری های مداوم متوجه می شوید سیستم اعتبارسنجی بانک از طریق اطلاعات ژنتیکی شما متوجه شده که به خاطر ویژگی های وراثتی، احتمال ابتلای شما به بیماری خاصی نظیر آلزایمر بالاست و شاید قبل از بازپرداخت کامل وام از دنیا بروید.

البته شرکت MyHeritage در زمینه تست های سلامتی و پزشکی عمل نمی کند، ولی تعدادی کمپانی دیگر نظیر 23andMe و Helix در این حوزه مشغول فعالیت هستند. اطلاعات ژنتیکی و DNA هم که مشتریان زیادی دارند: محققین برای تحقیقات علمی به دنبال داده های ژنتیکی هستند، شرکت های بیمه برای محاسبه هزینه بیمه های سلامت و عمر از این اطلاعات استفاده می کنند، و پلیس هم برای ردیابی و به دام انداختن مهاجمین از چنین روشی بهره می گیرد، اتفاقی که همین اواخر برای یکی از متهمین به قتل در آمریکا افتاد.

از طرفی، امنیت و محرمانگی در حوزه ژنتیک هم هنوز به خوبی تعریف نشده و به همین دلیل نفوذ در چنین اطلاعاتی می تواند عواقب جبران ناپذیری را در پی داشته باشد. همان طور که پروفسور «ناتالی رام» استاد حقوق حوزه مباحث اخلاقی در دانشگاه بالتیمور می گوید، هرجا داده ای وجود داشته باشد، راهی برای سوء استفاده از آن هم پیدا می شود.

سایت های تست ژنتیکی، گنجینه ای از اطلاعات حساس و ارزشمند هستند. برخی سایت ها به کاربران اجازه می دهند یک نسخه از کد ژنتیکی کامل خود را دانلود کنند، و برخی دیگر از چنین مزایایی بی بهره اند. البته کد ژنتیکی کامل را نمی توان ارزشمند ترین هدف هکرها در نظر گرفت. به گفته رام، نمی توان کد ژنتیکی را به طور کامل مطالعه و تفسیر کرد. سارقین بیشتر به صفحات داخلی حساب های کاربری علاقه مند هستند که تفسیر داده های ژنتیکی و جمع بندی آن را ارائه می دهند.

این اطلاعات برای شرکت های بیمه، سازمان های تأمین نیروی انسانی و پلیس ارزشمند هستند. زمانی که چنین اطلاعاتی روی فضای وب منتشر شود و به شکل آنلاین در اختیار همه قرار گیرد، می توان تبعیض ژنتیکی را هم به فهرست تبعیض های جوامع انسانی اضافه کرد. مثلاً برخی افراد از دریافت وام های طولانی مدت محروم می شوند یا هزینه بیمه عمر آنها بیشتر حساب می شود، هرچند تفسیر اطلاعات ژنتیکی بسیار دشوار است و مباحث مربوط به احتمالات وراثتی هم برای همه قابل درک نیست.

در آینده ای که جمع آوری و عرضه اطلاعات ژنتیکی به اندازه کافی فراگیر شود، به راحتی می توان سرویس هایی را یافت که با پرداخت هزینه اندک، داده های DNA افراد را در اختیارتان قرار می دهند، درست مثل دسترسی به سابقه کیفری و پرونده های قضایی افراد که در حال حاضر ممکن است.

البته پلیس و شرکت ها (احتمالاً) به شکل مستقیم با هکرها همکاری نمی کنند، اما هیچوقت معلوم نمی شود که اطلاعات از کجا به دست آمده، و همواره بازارهای سیاه و مخفیانه برای خرید و فروش یا باج خواهی وجود خواهد داشت. رام در این باره می گوید:

نمی توان تصور کرد زمانی که اطلاعاتی هک شد و روی وب قرار گرفت، حمایتی از افراد صاحب آنها صورت گیرد. به نظر من اینکه اطلاعات از طریق نفوذ غیر قانونی حاصل شده باشند، باعث نمی شود که مورد سوء استفاده قرار نگیرند.

مسئله دیگری هم در این رابطه وجود دارد: تست های ژنتیکی عمومی اکثراً نتایج غلط می دهند. گزارش های سلامتی مبتنی بر تست ژنتیکی در موارد متعدد نتیجه مثبت کاذب (false-positive) دارند و حتی تست های تبارشناسی هم دقت بالایی ندارند. به عنوان مثال برخی از تست های 23andMe از سوی سازمان غذا و داروی آمریکا (FDA) تأیید شده و برخی دیگر هنوز مورد تأیید نیستند، یعنی نمی توان به نتایج آنها استناد کرد.

بنابراین اگرچه می توان گزارشی تهیه کرد و در مورد آن به بحث و گفتگو پرداخت، اما تقریباً هیچکس دانش ژنتیکی کافی برای تشخیص صحت و سقم ادعاهای مطرح شده، درک آنها و تصحیح موارد اشتباه را نخواهد داشت. هنوز متخصصین ژنتیک عمومی به اندازه کافی در دسترس نیستند و در تحقیقات جدید هم مشخص شده که برخی نهادهای پزشکی در تفسیر نتایج چنین تست هایی با مشکل مواجه هستند.

همان طور که هک شدن وب سایت Equifax در سال گذشته نشان داد همچنان با فقدان قوانین اجرایی در مورد داده های فاش شده از روش های غیر قانونی و هک روبرو هستیم، و افشای اطلاعات ژنتیکی قطعاً جدی تر از اطلاعات کارت های اعتباری محسوب می شود، چون داده های ژنتیکی تغییر ناپذیرند. وینیا به این نکته اشاره می کند که شماره کارت اعتباری، آدرس ها و رمزهای عبور را می شود عوض کرد، اما اطلاعات ژنتیکی را نمی توان تغییر داد، ضمن اینکه داده های ژنتیکی اغلب ناخواسته فاش می شوند.

رام در این رابطه می گوید «حتی اگر من از خدمات سایت 23andMe استفاده نکنم، شاید بستگان نزدیکم چنین تصمیمی بگیرند و در نتیجه درصد بالایی از اطلاعات ژنتیکی من هم در پایگاه داده آنها وجود خواهد داشت.» مثلاً در یکی از این موارد، یکی از دوقلوهای همسان تصمیم به تعیین توالی DNA خود گرفت و در نتیجه، اطلاعات ژنتیکی خواهر دوقلویش را هم در اختیار دیگران قرار داد.

اکثر کارشناسان بر این عقیده اند که شرکت های تست ژنتیکی، تعهد اخلاقی سنگین تری در برابر مشتریان خود دارند و باید راهکارهای اساسی برای پیشگیری و مقابله با رخنه های امنیتی اتخاذ کنند. در حال حاضر در برخی کشورها قوانین محافظت و محرمانگی برای اطلاعات و سوابق پزشکی وجود دارد اما نتایج تست های ژنتیکی تحت پوشش این قوانین قرار نمی گیرند. در قدم نخست باید این قوانین را اصلاح کرد.

نهایتاً اینکه هنوز برای اعتماد کامل به شرکت هایی از این دست بسیار زود است، شرکت هایی که وعده ی کشف حقایق پشت پرده را به ما می دهند ولی سؤالات زیادی پیرامون نحوه فعالیت آنها وجود دارد و نمی دانیم نتایج این تست ها واقعاً درست هستند یا نه. پس فعلاً بهتر است اطلاعات ژنتیکی خود را بدون دلیل موجه در اختیار دیگران و در معرض هکرهای مدرن قرار ندهیم.