Данни от чувствителен мащаб се появяват в e-commerce платформа

Медицински данни, свързани с около половин милион доброволци във Великобритания, съхранявани от UK Biobank, са били обявени за продажба в платформи на Alibaba.

Случаят бе повдигнат официално в британския парламент от Иън Мъри, който потвърди, че данните са били публикувани от няколко продавачи.

Какви данни са засегнати

Според официалната позиция:

• не са изтекли имена, адреси или директни контакти
• данните са „деидентифицирани“

Въпреки това, те включват:

• пол
• възраст
• месец и година на раждане
• социално-икономически статус
• здравни показатели
• генетична информация
• болнични диагнози

Комбинацията от тези елементи може да позволи индиректна идентификация при по-сложен анализ.

Как се е случил инцидентът

По информация на изпълнителния директор Проф. Рори Колинс:

• данните са предоставени на изследователи от три академични институции
• именно там е възникнало изтичането
• достъпът на тези институции вече е прекратен

Става дума за нарушение на договорни условия, а не за директен хак на системите на Biobank

Реакция и намеса на институциите

Съдействие от британските и китайските власти е довело до:

• бързо премахване на обявите от платформите на Alibaba
• липса на доказателства за реални покупки (по официални данни)

Въпреки това, случаят вече се разследва от Information Commissioner’s Office.

Предишни предупреждения и системен риск

Още през март разследване на The Guardian разкри, че:

• данни от UK Biobank са били излагани онлайн многократно
• в някои случаи са включвали милиони записи с диагнози

Тогава организацията твърди, че няма пробив, но текущият случай показва системен проблем при управлението на достъпа и данните

Реални рискове: „деидентифицирани“ не означава анонимни

Министър Иън Мъри признава:

не може да се гарантира на 100%, че лица няма да бъдат идентифицирани

Това е ключов момент, защото:

• модерните техники за анализ (вкл. ИИ) могат да свързват данни
• дори анонимизирани записи могат да бъдат декодирани

Предприети мерки

UK Biobank обяви серия от действия:

• временно спиране на достъпа до платформата
• ограничаване на обема на експортираните данни
• ежедневно наблюдение на изнасяните файлове
• започване на вътрешно разследване

Целта е да се намали рискът от масово извличане на данни.

Експертна оценка: край на „security by obscurity“

Според експерти от Huntress:

• инцидентът показва, че скриването на данни не е достатъчна защита
• необходим е преход към Zero Trust архитектура

Това означава:

• постоянна верификация на достъпа
• строг контрол върху всяко действие
• ограничаване на щетите при компрометиране

Случаят с UK Biobank подчертава критичен проблем в съвременната наука и здравеопазване:

• огромни масиви от чувствителни данни
• сложна мрежа от външни изследователи
• недостатъчен контрол върху достъпа

Дори без класически хак, веригата на доверие може да се окаже най-слабата точка.