Atak na UK Biobank ujawnia dane osobowe 500 000 wolontariuszy

Atak na UK Biobank wyraźnie uwypuklił słabości scentralizowanych baz danych dotyczących zdrowia. Minister ds. technologii Ian Murray potwierdził, że dane osobowe 500 000 wolontariuszy z UK Biobank, jednego z najważniejszych repozytoriów badań zdrowotnych w kraju, zostały skradzione i następnie wystawione na sprzedaż na platformach e-commerce Alibaby w Chinach. Organizacja charytatywna UK Biobank zgłosiła incydent do Biura Komisarza ds. Informacji (ICO) w celu przeprowadzenia pełnego dochodzenia.

Choć urzędnicy oświadczyli, że skradzione dane nie zawierały imion, nazwisk ani bezpośrednich danych kontaktowych, obejmowały one wrażliwe dane dotyczące uczestnictwa. To rozróżnienie ma znaczenie, jednak nie sprawia, że naruszenie jest bez konsekwencji. Dane dotyczące uczestnictwa w badaniach zdrowotnych, nawet bez dołączonych danych osobowych, mogą nieść ze sobą realne możliwości identyfikacji i profilowania, szczególnie w połączeniu z innymi zbiorami danych.

Jakiego rodzaju dane były zaangażowane

UK Biobank to wielkoskalowa biomedyczna baza danych, która gromadzi informacje genetyczne, dotyczące stylu życia oraz stanu zdrowia wolontariuszy z całego Zjednoczonego Królestwa. Jej celem jest wspieranie długoterminowych badań nad poważnymi chorobami. Uczestnicy przekazują szczegółowe dane biologiczne i behawioralne przez wiele lat, co sprawia, że baza danych jest wyjątkowo bogata w wrażliwe materiały.

Urzędnicy starannie zaznaczyli, że naruszone dane nie zawierały imion, nazwisk ani danych kontaktowych. Jednak „dane dotyczące uczestnictwa" odnoszą się w tym kontekście prawdopodobnie do zapisów, które mogą wskazywać na zaangażowanie danej osoby w określone badania zdrowotne lub kategorie badań. W zależności od szczegółowości tych danych mogłyby one potencjalnie ujawniać stan zdrowia, czynniki stylu życia lub historię medyczną, którą wolontariusze mają uzasadnione podstawy uważać za prywatną.

Fakt, że dane te pojawiły się na sprzedaż na komercyjnej platformie w Chinach, rodzi dodatkowe obawy dotyczące tego, jak daleko mogły już dotrzeć oraz kto mógł je kupić lub skopiować, zanim naruszenie zostało wykryte.

Dlaczego scentralizowane bazy danych dotyczących zdrowia niosą szczególne ryzyko

Atak na UK Biobank przypomina o jednym z fundamentalnych napięć we współczesnych badaniach zdrowotnych: im bardziej kompleksowa i scentralizowana staje się baza danych dotyczących zdrowia, tym bardziej wartościowa jest dla badaczy i tym bardziej atrakcyjna staje się dla złośliwych podmiotów.

Duże scentralizowane repozytoria tworzą efekt tzw. „honeypota", często opisywany przez specjalistów ds. bezpieczeństwa. Pojedyncze naruszenie może jednocześnie ujawnić dane setek tysięcy osób, w przeciwieństwie do mniejszych incydentów wynikających z bardziej rozproszonego przechowywania danych. Nie jest to argument przeciwko bazom danych medycznych, które służą prawdziwemu dobru publicznemu. Jest to jednak argument za traktowaniem bezpieczeństwa takich systemów jako priorytetu z zakresu infrastruktury krytycznej, a nie kwestii drugorzędnej.

Istnieją również kwestie regulacyjne warte zbadania. Dochodzenie ICO prawdopodobnie skupi się na tym, w jaki sposób doszło do naruszenia, jakie środki bezpieczeństwa były wdrożone oraz czy organizacja spełniła swoje obowiązki wynikające z brytyjskiego prawa o ochronie danych. Wyniki tego dochodzenia będą miały znaczenie nie tylko dla UK Biobank, ale także jako sygnał dla innych organizacji przetwarzających wrażliwe dane zdrowotne na dużą skalę.

Co to oznacza dla Ciebie

Jeśli jesteś wolontariuszem UK Biobank, zalecamy śledzenie wszelkich komunikatów organizacji i stosowanie się do wskazówek dostarczanych przez dochodzenie ICO w miarę jego postępu. Ponieważ według doniesień imiona, nazwiska i dane kontaktowe nie zostały uwzględnione w skradzionych danych, ryzyko bezpośredniego ukierunkowanego phishingu lub kradzieży tożsamości może być niższe niż w przypadku niektórych innych naruszeń. Niemniej zawsze warto przejrzeć swoją ogólną higienę cyfrową po każdym incydencie dotyczącym Twoich danych osobowych.

W szerszym ujęciu, to naruszenie jest impulsem dla każdego, by uważnie zastanowić się nad danymi udostępnianymi organizacjom badawczym i zdrowotnym — nie po to, by zniechęcić do udziału w wartościowych badaniach, lecz by zadawać świadome pytania o sposób przechowywania, zabezpieczania i udostępniania tych danych.

Istnieją również praktyczne kroki, które każdy może podjąć, aby zmniejszyć ogólną ekspozycję na zagrożenia dla prywatności podczas korzystania ze związanych ze zdrowiem usług online. Używanie VPN podczas przeglądania treści medycznych lub zdrowotnych może pomóc zapobiec rejestrowaniu aktywności przez podmioty trzecie lub powiązaniu jej z Twoją tożsamością. Selektywny wybór aplikacji i platform, którym przyznaje się dostęp do danych zdrowotnych, przeglądanie ustawień prywatności w urządzeniach do noszenia i aplikacjach zdrowotnych, a także używanie silnych, unikalnych haseł na każdym koncie powiązanym z dokumentacją medyczną to rozsądne podstawowe środki ostrożności.

Najważniejsze wnioski

  • Atak na UK Biobank dotknął 500 000 wolontariuszy, a skradzione dane zostały wystawione na sprzedaż na platformach w Chinach.
  • Władze informują, że imiona, nazwiska i dane kontaktowe nie zostały uwzględnione, jednak wrażliwe dane dotyczące uczestnictwa zostały naruszone.
  • Incydent został zgłoszony do ICO w celu przeprowadzenia pełnego dochodzenia.
  • Scentralizowane bazy danych dotyczących zdrowia stanowią atrakcyjne cele; standardy bezpieczeństwa takich repozytoriów wymagają stałej kontroli.
  • Wolontariusze i ogół społeczeństwa powinni przejrzeć swoje nawyki związane z prywatnością cyfrową, szczególnie w zakresie danych i kont związanych ze zdrowiem.

Atak na UK Biobank nie jest zdarzeniem odosobnionym. Wpisuje się w schemat, w którym wartościowe dane zdrowotne i badawcze stają się celem kradzieży i odsprzedaży. W miarę jak dochodzenie ICO będzie się rozwijać, warto uważnie śledzić, co ustalenia ujawnią na temat systemowych podatności oraz jakie zmiany — jeśli w ogóle — zostaną nakazane. W międzyczasie poważne traktowanie prywatności danych osobowych pozostaje jedną z najskuteczniejszych rzeczy, które jednostki mogą zrobić.