UK Biobank deve reabrir plataforma de pesquisa após ataque que levou à oferta de dados de 500 mil voluntários no Alibaba

O UK Biobank afirma que a Research Analysis Platform (UKB-RAP) está segura e aguarda aval dos controladores de dados de saúde e do governo central para reabrir. A plataforma está fechada a todos os pesquisadores desde o ataque de abril, que levou à oferta dos dados de 500 mil voluntários no Alibaba. Mais de 20 mil pesquisadores usam o serviço, que reúne dados coletados entre 2006 e 2010 de pessoas de 40 a 69 anos, cerca de 30 petabytes ao todo. O CEO, Sir Rory Collins, disse que uma empresa independente de cibersegurança verificou o trabalho e recomendou a reabertura.

O retorno será em fases. No início, ninguém baixa arquivos de resultados, e um piloto de checagem manual de saídas fará humanos revisarem o que sair da plataforma. Um processo automatizado deve chegar no ano que vem. Até lá, também ficam restritos apps públicos e o compartilhamento de ferramentas com colegas externos. Entre as mudanças técnicas: logout automático após 15 minutos de inatividade com 2FA na reautenticação, fim do SSH nos jobs, navegação isolada nas ferramentas interativas (limita a transferência entre web apps e a máquina local) e restrições à CLI. Pesquisadores não poderão atualizar nem dispensar dados, só trabalhar com os existentes.

Há ainda o problema dos repositórios de código. Dados desidentificados acabam incluídos por engano nesses repositórios. O UKB roda varreduras automáticas diárias e dá treinamento, mas Collins disse que ainda detecta um pequeno número de casos, tratados como violação grave do Material Transfer Agreement. Quem não removeu os dados não volta à plataforma, e os responsáveis sofrem sanções, além de ter de mover análises para a UKB-RAP, apagar dados baixados e passar por novo treinamento. O prazo inicial de reabertura era setembro de 2026, mas a avaliação independente atrasou o cronograma.

Em 24 de abril de 2026, o CEVIU noticiou, em "Dados médicos de 500 mil voluntários do Biobank listados para venda no Alibaba, revela ministro do Reino Unido", que os dados estavam à venda por uma fonte desconhecida e que o incidente teria ocorrido após três instituições de pesquisa chinesas baixarem bulk datasets em desacordo com as regras. Seis meses depois, o foco saiu do vazamento e foi para a reconstrução do acesso: a plataforma continua fechada, e a reabertura depende de aprovação, com controles que atacam justamente o download em massa (revisão manual de saídas, sem download no início, sem SSH).

Para quem opera ambientes de dados sensíveis compartilhados com terceiros, o caso funciona como checklist de contenção: isolar a navegação, cortar acesso de shell, limitar a CLI, forçar 2FA e revisar saídas antes de liberar. A leitura aqui é que o elo mais difícil não é a plataforma, e sim o comportamento de quem a usa, já que dados desidentificados continuam escapando em repositórios de código mesmo com varredura diária e treinamento.