UK Biobank mở lại nền tảng nghiên cứu sau vụ rò rỉ dữ liệu nửa triệu người

UK Biobank (UKB) vừa tuyên bố nền tảng của mình đã "an toàn" và các nhà nghiên cứu học thuật sẽ sớm được truy cập trở lại, nhiều tháng sau sự cố rò rỉ dữ liệu sức khỏe của các tình nguyện viên.

Tổ chức từ thiện điều hành dự án nghiên cứu này — nơi tự mô tả là đơn vị lưu giữ bộ dữ liệu y sinh toàn diện nhất thế giới — cho biết đang chờ sự chấp thuận từ các đơn vị quản lý dữ liệu y tế và chính phủ trung ương trước khi tái khởi động nền tảng.

Bị khóa từ tháng 4 sau sự cố rao bán dữ liệu

Nền tảng Research Analysis Platform của UK Biobank (UKB-RAP) đã chặn toàn bộ nhà nghiên cứu y khoa truy cập bộ dữ liệu kể từ vụ tấn công hồi tháng 4. Sự cố này dẫn đến việc dữ liệu của toàn bộ 500.000 tình nguyện viên bị rao bán trên sàn thương mại điện tử Trung Quốc Alibaba.

Hơn 20.000 nhà nghiên cứu đang sử dụng bộ dữ liệu do nền tảng đám mây này cung cấp. Họ tải lên các dự án nghiên cứu và chạy thử nghiệm dựa trên dữ liệu gen mà UKB thu thập từ người dân trong độ tuổi 40 đến 69 giai đoạn 2006–2010.

Tổ chức này cung cấp khoảng 30 petabyte dữ liệu cho giới nghiên cứu, phục vụ các công trình về ung thư, sa sút trí tuệ, bệnh Parkinson và khả năng miễn dịch với COVID-19.

Kiểm chứng độc lập và lộ trình mở lại từng bước

Giáo sư Sir Rory Collins, CEO của UKB, cho biết hôm thứ Sáu rằng tổ chức đã "hoàn tất công việc đảm bảo UKB-RAP an toàn", và tiến độ này đã được một công ty an ninh mạng độc lập kiểm tra, với báo cáo khuyến nghị mở lại nền tảng.

Sau khi nhận đủ các phê duyệt cần thiết, tổ chức từ thiện sẽ đưa nhà nghiên cứu trở lại nền tảng theo từng giai đoạn. Tuy nhiên, ban đầu các nhà khoa học sẽ chưa thể tải xuống tệp kết quả.

Nền tảng sẽ thí điểm một "hệ thống kiểm tra đầu ra thủ công", trong đó người kiểm duyệt sẽ xem xét các tệp mà nhà nghiên cứu muốn tải xuống trước khi cho phép, trước khi quy trình tự động được triển khai vào năm sau.

Hàng loạt hạn chế mới với nhà nghiên cứu

Theo hướng dẫn mà UKB biên soạn cho nhà nghiên cứu về các thay đổi trên nền tảng, họ cũng sẽ bị hạn chế xây dựng ứng dụng công khai và chia sẻ công cụ với đồng nghiệp bên ngoài cho đến khi hệ thống kiểm tra thủ công hoạt động đầy đủ.

Các nhà nghiên cứu được cảnh báo rằng họ không thể làm mới hay phân phối dữ liệu, mà chỉ được làm việc với dữ liệu có sẵn. Họ cũng được thông báo sẽ bị tự động đăng xuất sau 15 phút không hoạt động, với yêu cầu xác thực hai lớp (2FA) khi đăng nhập lại.

Những thay đổi kỹ thuật khác bao gồm:

• Không còn khả năng SSH vào các tác vụ (job)
• Công cụ tương tác được chạy qua "duyệt web cô lập", hạn chế truyền dữ liệu giữa ứng dụng web và hệ thống cục bộ của người dùng
• Một số hạn chế đối với việc sử dụng giao diện dòng lệnh (CLI)

UKB đang hướng tới mục tiêu các nhà nghiên cứu không lưu trữ dữ liệu trên máy tính cá nhân, mà chỉ làm việc với dữ liệu được tải lên kho lưu trữ do tổ chức vận hành.

Rủi ro từ dữ liệu vô danh hóa bị lẫn vào mã nguồn

Tuy nhiên, khi tải dữ liệu lên kho trực tuyến, dữ liệu đã vô danh hóa đôi khi bị lẫn vào mã nguồn. UKB cho biết họ chạy quét tự động hàng ngày trên các kho này để phát hiện sai sót, đồng thời đào tạo nhà nghiên cứu nhằm ngăn ngừa tình trạng trên.

Ông Collins cho biết kể từ sau vụ tấn công, phần lớn nhà nghiên cứu đã xác nhận xóa dữ liệu vô danh hóa khỏi dự án của mình, nhưng một số chưa làm và sẽ không được phép quay lại UKB-RAP cho đến khi hoàn tất.

"Bất chấp những nhắc nhở lặp đi lặp lại, chúng tôi vẫn phát hiện một số ít kho mã nguồn chứa dữ liệu người tham gia đã vô danh hóa. Vì đây là hành vi vi phạm nghiêm trọng Thỏa thuận chuyển giao tài liệu, các biện pháp chế tài đang được áp dụng với những nhà nghiên cứu liên quan."

Tổ chức từ thiện cũng cho biết những nhà nghiên cứu bị phát hiện để lộ dữ liệu người tham gia trong mã nguồn sẽ buộc phải chuyển phân tích sang UKB-RAP, xóa mọi dữ liệu đã tải xuống và tham gia đào tạo bổ sung trước khi được phép quay lại.

Trước đó, UKB từng thông báo với nhà nghiên cứu rằng nền tảng sẽ mở lại vào tháng 9/2026, nhưng bản cập nhật hồi tháng trước xác nhận phải chờ hoàn tất đánh giá độc lập, dù các cải thiện bảo mật bắt buộc đã được thực hiện.

Góc nhìn cho Việt Nam

Sự cố của UK Biobank là lời cảnh báo cho các tổ chức nghiên cứu và y tế tại Việt Nam đang số hóa dữ liệu bệnh nhân và xây dựng kho dữ liệu lớn phục vụ AI y tế. Việc áp dụng nguyên tắc giảm thiểu dữ liệu, kiểm soát chặt chẽ khâu tải xuống, cùng các biện pháp như 2FA và đăng xuất tự động là những thực hành bảo mật cơ bản nhưng thiết yếu. Với các dự án dữ liệu y sinh quy mô lớn, nguy cơ rò rỉ không chỉ đến từ kẻ tấn công bên ngoài mà còn từ chính quy trình làm việc của người dùng nội bộ.