Serviços de teste de DNA como 23andMe, Ancestry.com e MyHeritage estão tornando mais fácil para as pessoas aprenderem sobre sua herança étnica e composição genética. As pessoas também podem usar os resultados dos testes genéticos para se conectar a parentes em potencial usando sites de terceiros, como GEDmatch, onde eles podem comparar suas sequências de DNA com outras no banco de dados que carregaram os resultados dos testes.

Mas um final menos feliz também é possível. Pesquisadores da Universidade de Washington descobriram que o GEDmatch é vulnerável a vários tipos de riscos de segurança. Um adversário pode usar apenas um pequeno número de comparações para extrair os marcadores genéticos sensíveis de alguém. Um usuário malicioso também pode construir um perfil genético falso para se passar pelo parente de alguém.

A equipe publicou suas descobertas em 29 de outubro. Os pesquisadores também tiveram essa pesquisa aceita no Network and Distributed System Security Symposium e apresentarão esses resultados em fevereiro em San Diego.

"As pessoas pensam que os dados genéticos são pessoais - e são. Literalmente fazem parte de sua identidade física, "disse o autor principal Peter Ney, um pesquisador de pós-doutorado na Escola de Ciência e Engenharia da Computação da UW Paul G. Allen. "Isso torna a privacidade dos dados genéticos particularmente importante. Você pode alterar o número do seu cartão de crédito, mas não pode alterar o seu DNA."

O uso predominante de resultados de testes genéticos para genealogia é um fenômeno relativamente recente. Os benefícios iniciais podem ter obscurecido alguns riscos subjacentes, dizem os pesquisadores.

“Quando temos uma nova tecnologia, sejam automóveis inteligentes ou dispositivos médicos, nós, como sociedade, começamos com 'O que isso pode fazer por nós?' Então começamos a olhar para isso de uma perspectiva adversária, "disse o co-autor Tadayoshi Kohno, professor da Allen School. "Aqui, estamos olhando para este sistema e perguntando:'Quais são os problemas de privacidade associados ao compartilhamento de dados genéticos online?'"

Para procurar problemas de segurança, a equipe criou uma conta de pesquisa no GEDmatch. Os pesquisadores carregaram perfis genéticos experimentais que criaram misturando e combinando dados genéticos de vários bancos de dados de perfis anônimos. O GEDmatch atribuiu a esses perfis um ID que as pessoas podem usar para fazer comparações individuais com seus próprios perfis.

Para as comparações um a um, O GEDmatch produz gráficos com informações sobre o quanto dos dois perfis correspondem. Um gráfico é uma barra para cada um dos 22 cromossomos não sexuais. Cada barra muda de comprimento dependendo de quão semelhantes os dois perfis são para aquele cromossomo. Uma barra mais longa mostra que há mais regiões correspondentes, enquanto uma série de barras mais curtas significa que existem regiões curtas de similaridade intercaladas com áreas que são diferentes.

A equipe queria saber se um adversário poderia usar essa barra para descobrir uma sequência de DNA específica dentro de uma região do perfil de um alvo, como se o alvo tem ou não uma mutação que os torna suscetíveis a uma doença. Para esta pesquisa, a equipe projetou quatro "perfis de extração" que eles poderiam usar para comparações um a um com um perfil de destino que criaram. Com base no fato de a barra ficar inteira - indicando que o perfil de extração e o alvo combinam - ou dividida em duas barras - indicando que não há correspondência - a equipe foi capaz de deduzir a sequência específica do alvo para aquela região.

"As informações genéticas se correlacionam com condições médicas e, potencialmente, outras características profundamente pessoais, "disse o co-autor Luis Ceze, professor da Allen School. "Mesmo na era do compartilhamento excessivo de informações, este é provavelmente o tipo de informação que não queremos compartilhar para fins jurídicos, razões médicas e de saúde mental. Mas, à medida que mais informações genéticas se tornam digitais, os riscos aumentam. "

Em seguida, os pesquisadores se perguntaram se um adversário poderia usar uma técnica semelhante para adquirir o perfil completo de um alvo. A equipe se concentrou em outro gráfico GEDmatch que descreve o quão bem os perfis correspondem, mostrando uma linha de pixels coloridos que marcam o quão bem cada segmento de DNA na consulta corresponde ao alvo:verde para uma correspondência completa, amarelo para meia correspondência - quando uma fita de DNA correspondia, mas não a outra - e vermelho para nenhuma correspondência.

Em seguida, a equipe jogou um jogo de 20 perguntas:eles criaram 20 perfis de extração que usaram para comparações um a um em um perfil de destino que criaram. Com base em como as cores dos pixels mudaram, eles foram capazes de extrair informações sobre a sequência alvo. Para cinco perfis de teste, os pesquisadores extraíram cerca de 92% das sequências exclusivas de um teste com cerca de 98% de precisão.

"Então, basicamente, tudo o que o adversário precisa fazer é carregar esses 20 perfis e, em seguida, fazer 20 comparações um a um com o alvo, "Ney disse." Eles poderiam escrever um programa que automaticamente fizesse essas comparações, baixa os dados e retorna o resultado. Isso levaria 10 segundos. "

Depois que o perfil de alguém é exposto, o adversário pode usar essas informações para criar um perfil para um falso parente. A equipe testou isso criando uma criança falsa para um de seus perfis experimentais. Porque as crianças recebem metade do DNA de cada pai, o perfil da criança falsa tinha suas sequências de DNA correspondendo metade ao perfil dos pais. Quando os pesquisadores fizeram uma comparação um a um dos dois perfis, GEDmatch estimou uma relação pai-filho.

Um adversário pode gerar qualquer relacionamento falso que deseje, alterando a fração do DNA compartilhado, a equipe disse.

"Se os usuários do GEDmatch estiverem preocupados com a privacidade de seus dados genéticos, eles têm a opção de excluí-lo do site, "Ney disse." A escolha de compartilhar dados é uma decisão pessoal, e os usuários devem estar cientes de que pode haver algum risco sempre que eles compartilham dados. A segurança é um problema difícil para empresas de Internet em todos os setores. "

Antes de publicar seus resultados, os pesquisadores compartilharam suas descobertas com o GEDMatch, que tem trabalhado para resolver esses problemas, de acordo com a equipe GEDmatch. Os pesquisadores UW não são afiliados ao GEDmatch, Contudo, e não pode comentar sobre os detalhes de nenhuma correção.

"Estamos apenas começando a arranhar a superfície, "Kohno disse." Essas descobertas são tão fundamentais que as pessoas já podem estar fazendo isso e não sabemos sobre isso. A nossa responsabilidade é divulgar nossas descobertas para que possamos envolver uma comunidade de cientistas e legisladores em uma discussão sobre como mitigar esse problema. "