Hackning av UK Biobank exponerar 500 000 frivilligas personuppgifter

Hackningen av UK Biobank har satt fokus på sårbarheten hos centraliserade hälsodatabaser. Teknikminister Ian Murray bekräftade att personuppgifter tillhörande 500 000 frivilliga från UK Biobank, ett av landets mest betydande hälsoforskningsarkiv, stals och därefter erbjöds till försäljning på Alibabas e-handelsplattformar i Kina. UK Biobank-välgörenhetsorganisationen har lämnat in incidenten till Information Commissioner's Office (ICO) för en fullständig utredning.

Även om tjänstemän har uppgett att de stulna uppgifterna inte inkluderade namn eller direkta kontaktuppgifter, innehöll de känslig deltagardata. Den distinktionen är viktig, men den gör inte intrånget obetydligt. Hälsorelaterad deltagardata, även utan namn kopplat till den, kan ha en verklig identifierings- och profileringspotential, särskilt när den kombineras med andra datamängder.

Vilken typ av data var inblandad

UK Biobank är en storskalig biomedicinsk forskningsdatabas som samlar in genetisk, livsstilsrelaterad och hälsorelaterad information från frivilliga i hela Storbritannien. Syftet är att stödja långsiktig forskning om allvarliga sjukdomar. Deltagarna bidrar med detaljerad biologisk och beteendemässig information under många år, vilket gör databasen exceptionellt rik på känsligt material.

Tjänstemän har noga noterat att de komprometterade uppgifterna inte inkluderade namn eller kontaktinformation. "Deltagardata" syftar i det här sammanhanget troligen på poster som kan indikera någons deltagande i specifika hälsostudier eller forskningskategorier. Beroende på detaljnivån hos dessa uppgifter kan de potentiellt avslöja hälsotillstånd, livsstilsfaktorer eller sjukdomshistorik som frivilliga rimligen förväntar sig ska förbli privata.

Det faktum att dessa uppgifter dök upp till försäljning på en kommersiell plattform i Kina väcker ytterligare farhågor om hur långt de redan kan ha spridits, och vem som kan ha köpt eller kopierat dem innan intrånget identifierades.

Varför centraliserade hälsodatabaser bär unika risker

Hackningen av UK Biobank påminner om en av de grundläggande spänningarna inom modern hälsoforskning: ju mer heltäckande och centraliserad en hälsodatabas blir, desto mer värdefull är den för forskare, och desto mer attraktiv blir den för illvilliga aktörer.

Stora centraliserade arkiv skapar vad säkerhetsproffs ofta kallar en "honeypot"-effekt. Ett enda intrång kan exponera hundratusentals personers uppgifter på en gång, snarare än de mindre exponeringar som uppstår vid mer distribuerad datalagring. Detta är inte ett argument mot medicinska forskningsdatabaser, som tjänar ett genuint allmänt syfte. Det är dock ett argument för att behandla säkerheten i sådana system som en prioritet för kritisk infrastruktur snarare än en eftertanke.

Det finns också regulatoriska frågor värda att undersöka. ICO:s utredning kommer sannolikt att titta på hur intrånget uppstod, vilka säkerhetsåtgärder som fanns på plats och om organisationen uppfyllde sina skyldigheter enligt brittisk dataskyddslagstiftning. Resultatet av den utredningen kommer att ha betydelse inte bara för UK Biobank, utan som en signal till andra organisationer som hanterar känsliga hälsouppgifter i stor skala.

Vad detta innebär för dig

Om du är frivillig i UK Biobank är det omedelbara rådet att övervaka all kommunikation från organisationen och följa den vägledning som ICO:s utredning tillhandahåller allt eftersom den utvecklas. Eftersom namn och kontaktuppgifter uppges inte ha ingått i de stulna uppgifterna kan risken för direkt riktad nätfiske eller identitetsbedrägeri vara lägre än vid vissa andra intrång. Det är dock alltid värt att se över din allmänna digitala hygien i kölvattnet av en incident som rör dina personuppgifter.

Mer generellt är detta intrång en påminnelse för alla att noggrant tänka på de uppgifter de delar med forsknings- och hälsoorganisationer — inte för att avskräcka deltagande i värdefulla studier, utan för att ställa välgrundade frågor om hur dessa uppgifter lagras, säkras och delas.

Det finns också praktiska åtgärder som alla kan vidta för att minska sin allmänna integritetsexponering när de använder hälsorelaterade tjänster online. Att använda ett VPN när man surfar på medicinskt eller hälsorelaterat innehåll kan hjälpa till att förhindra att din aktivitet loggas av tredje parter eller kopplas till din identitet. Att vara selektiv med vilka appar och plattformar du ger åtkomst till hälsodata, granska sekretessinställningar på bärbara enheter och hälsoappar, samt använda starka unika lösenord på alla konton kopplade till medicinska uppgifter är alla rimliga grundläggande försiktighetsåtgärder.

Viktiga slutsatser

  • Hackningen av UK Biobank drabbade 500 000 frivilliga och de stulna uppgifterna listades till försäljning på plattformar i Kina.
  • Myndigheter uppger att namn och kontaktuppgifter inte ingick, men känslig deltagardata komprometterades.
  • Incidenten har lämnats in till ICO för en fullständig utredning.
  • Centraliserade hälsodatabaser utgör attraktiva mål; säkerhetsstandarderna för sådana arkiv förtjänar fortlöpande granskning.
  • Frivilliga och allmänheten bör se över sina digitala integritetvanor, särskilt gällande hälsorelaterade uppgifter och konton.

Hackningen av UK Biobank är inte en isolerad händelse. Den passar in i ett mönster av högvärdiga hälso- och forskningsdata som blir mål för stöld och återförsäljning. När ICO:s utredning fortskrider kommer det att vara värt att följa den noga för att se vad resultaten avslöjar om systemiska sårbarheter och vilka förändringar, om några, som föreskrivs som ett resultat. Under tiden förblir ett seriöst förhållningssätt till personlig dataintegritet en av de mest effektiva åtgärder som individer kan vidta.