Richmond'da Sağlık Skandalı 266 Bin Kişinin Verileri Çalındı

Ne Oldu

Virginia, Richmond'daki bir radyoloji kliniği, bugün yaptığı açıklamayla adeta bir bombanın pimini çekti. Radiology Associates of Richmond (RAR), tam 266.000 hastasının verilerini çaldırdığını itiraf etti. Bu sadece basit bir sızıntı değil; insanların en mahrem bilgilerinin, yani sağlık kayıtlarının siber suçluların eline geçmesi demek. Şirketin açıklamasına göre, bu olay Mart ayında gerçekleşmiş. Ama hastaların haberi daha yeni oluyor. Aradan geçen iki koca ay. Bu sürede o verilerle neler yapıldığını bir düşünün.

Olayın vahameti, rakamların büyüklüğünde ve çalınan bilginin niteliğinde saklı. Bu, yerel bir klinikten çok daha fazlasını etkileyen, bölgesel bir sağlık krizi. RAR, Richmond ve çevresinde pek çok hastaneye ve kliniğe hizmet veren büyük bir oyuncu. Dolayısıyla bu ihlalden etkilenenlerin sayısı, sadece doğrudan RAR'a gidenlerle sınırlı kalmayabilir. Şirket, saldırıyı fark ettikten sonra sistemlerini güvence altına almak ve olayın boyutunu anlamak için bir siber güvenlik firmasıyla anlaştıklarını söylüyor. Klasik bir "at arabası devrildikten sonra yol gösteren çok olur" durumu. Ancak asıl soru şu: Bu kadar hassas veriyi korumak için en başta neden yeterli önlemleri almadılar?

Ele Geçirilen Veriler

Şimdi gelelim işin en can sıkıcı kısmına. Siber hırsızlar ne mi çaldı? Neredeyse dijital kimliğinizin tamamını. RAR tarafından yapılan açıklamaya göre ele geçirilen bilgiler arasında şunlar var:

• Tam Ad ve Soyad: Kimlik avı saldırılarının ilk adımı.
• Adres Bilgileri: Hem fiziksel güvenlik riski hem de diğer dolandırıcılık türleri için bir kapı aralıyor.
• Doğum Tarihi: Kimlik doğrulama süreçlerinde sıkça kullanılan temel bir bilgi.
• Sosyal Güvenlik Numarası (SSN): İşte bu, kırmızı alarm demek. SSN, ABD'de finansal kimliğin anahtarıdır. Bu numarayla adınıza kredi kartları açılabilir, banka hesapları boşaltılabilir, hatta vergi iadesi dolandırıcılığı yapılabilir.
• Sağlık Sigortası Bilgileri: Poliçe numaraları, grup numaraları... Bu bilgilerle suçlular sizin adınıza sahte sağlık hizmeti alabilir, sigorta şirketlerini dolandırabilir. Sonra bir bakmışsınız, hiç almadığınız bir tedavinin faturası kapınızda.
• Tıbbi Bilgiler: Belki de en kötüsü bu. Teşhisler, tedavi geçmişleri, doktor notları, hangi filmlerin çekildiği... Bu bilgiler sadece utanç verici veya mahrem olmakla kalmaz, aynı zamanda şantaj için de kullanılabilir. Hassas bir tıbbi durumu olan birinin bu bilgisinin ifşa edilme tehdidiyle karşı karşıya kaldığını hayal edin.

Bu veri setinin bir araya gelmesi, siber suçlular için adeta bir hazine. Buna "tam profil" (fullz) denir. Bu bilgilerle, bir kişinin hayatını dijital olarak tamamen ele geçirebilirler. Dark web üzerinde bu tür kapsamlı sağlık verileri, basit kredi kartı bilgilerinden çok daha değerli ve alıcısı da bir o kadar fazla.

Saldırının Nasıl Gerçekleştiği

Peki, bu devasa güvenlik duvarını nasıl aştılar? Şirket, teknik detaylar konusunda oldukça ağzı sıkı. Ancak siber güvenlik dünyasındaki tecrübelerimiz ve benzer vakalar, bize olası senaryolar hakkında fikir veriyor. Bu tür saldırılar genellikle bir "ilk erişim" ile başlar. Bu, genellikle bir çalışanın dikkatsizliğinden kaynaklanır. Örneğin, sahte bir e-postadaki (phishing) linke tıklayan bir personel veya zayıf bir parola kullanılması... Bu ilk adımdan sonra saldırganlar ağın içine sızar.

Ancak hemen saldırmazlar. Haftalarca, hatta aylarca sessizce içeride kalıp ağı haritalandırırlar. Nerede hangi veri var, yedeklemeler nerede tutuluyor, en değerli bilgilere nasıl ulaşılır... Her şeyi öğrenirler. Bu "bekleme süresi" (dwell time), saldırının yıkıcılığını artırır. RAR vakasında, saldırganların Mart ayında tespit edilmeden önce ne kadar süredir sistemde oldukları belirsiz. Belki de haftalardır oradaydılar.

Verileri çalma aşaması, yani "veri sızdırma" (data exfiltration), genellikle saldırının son aşamasından hemen önce gelir. Mümkün olan en fazla veriyi kendi sunucularına çekerler. Son darbe ise genellikle bir fidye yazılımı (ransomware) olur. Sistemleri şifreleyip, hem verileri geri vermek hem de çalınan verileri yayınlamamak için fidye isterler. Bu, "çifte şantaj" olarak bilinen acımasız bir taktiktir. RAR, fidye yazılımı hakkında bir açıklama yapmadı ama bu senaryo, sağlık sektöründeki saldırılarda oldukça yaygın.

Etkilenenler Kim

Kağıt üzerinde 266.000 kişi. Ama gerçekte kimler bunlar? Radiology Associates of Richmond'a son birkaç yıl içinde yolu düşmüş herkes potansiyel bir kurban. Sadece mevcut hastalar değil, eski hastalar da risk altında. Sağlık kurumları yasal olarak hasta kayıtlarını yıllarca saklamak zorunda. Bu da demek oluyor ki, 10 yıl önce çektirdiğiniz bir röntgen filmi bile bu ihlalin bir parçası olabilir.

Eğer Richmond veya çevresinde yaşıyorsanız ve herhangi bir doktor sizi röntgen, MR veya tomografi için bir yere yönlendirdiyse, o yerin RAR ile bir bağlantısı olup olmadığını kontrol etmeniz gerekiyor. Çünkü RAR, birçok farklı sağlık kuruluşuna radyoloji hizmeti sağlayan bir merkez. Yani siz doğrudan RAR'ın kapısından girmemiş olsanız bile, verileriniz onların sistemlerinde işlenmiş olabilir. Bu durum, ihlalin etki alanını daha da karmaşık ve endişe verici hale getiriyor. Şirketin gönderdiği bildirim mektupları, kimlerin etkilendiğini netleştirecek. Ama o mektuplar gelene kadar beklemek, zaman kaybından başka bir şey değil.

Ne Yapabilirsin

Klasik "parolanızı değiştirin" tavsiyelerini bir kenara bırakalım. Bu durum çok daha ciddi. İşte gerçekten işe yarayacak adımlar:

1. Kredi Raporlarını Dondur: Bu, yapabileceğiniz en etkili şey. Kredi izleme servisleri size hırsızlık olduktan sonra haber verir. Kredi dondurma ise hırsızlığı en başından engeller. Equifax, Experian ve TransUnion adlı üç büyük kredi bürosunu arayarak veya web sitelerinden raporlarınızı dondurun. Bu işlem, sizin izniniz olmadan kimsenin adınıza yeni bir kredi hesabı açmasını engeller. Bu bedava bir hizmet ve hayat kurtarır.

2. Sağlık Sigortası Dökümlerini Mercek Altına Al: Sigorta şirketinizden gelen "Alınan Hizmetlerin Açıklaması" (Explanation of Benefits - EOB) belgelerini dikkatle inceleyin. Tanımadığınız bir doktor, bilmediğiniz bir tedavi veya sizin almadığınız bir hizmet görürseniz, derhal sigorta şirketinizi arayın. Bu, tıbbi kimlik hırsızlığının en net işaretidir.

3. Şirketin Sunduğu Ücretsiz Kredi İzlemeye Şüpheyle Yaklaş: RAR, etkilenenlere ücretsiz kredi izleme hizmeti sunacağını söyledi. Bunu kabul edin, bedavadır. Ancak bunun sizi tamamen koruyacağını düşünmeyin. Bu hizmetler genellikle sınırlıdır ve asıl proaktif korumayı (kredi dondurma gibi) sizin yapmanız gerekir. Ayrıca, bu hizmetlere kaydolurken kabul ettiğiniz şartları okuyun. Bazen bu anlaşmalar, şirkete dava açma hakkınızdan feragat etmenizi isteyebilir.

4. IRS ve Sosyal Güvenlik İdaresi ile Tetikte Ol: Sosyal Güvenlik Numaranız çalındığı için, suçlular sizin adınıza vergi iadesi başvurusunda bulunabilir veya sosyal güvenlik yardımlarınızı çalmaya çalışabilir. Bir IRS hesabı oluşturup aktivitelerinizi takip edin ve Sosyal Güvenlik İdaresi'ndeki beyanlarınızı düzenli olarak kontrol edin.

Şirket Ne Diyor

Radiology Associates of Richmond'un açıklaması, beklenen kurumsal dilin dışına çıkmıyor. "Hastalarımızın gizliliğini ve güvenliğini çok ciddiye alıyoruz" gibi cümlelerle dolu. Olaydan "derin üzüntü duyduklarını" ve "gelecekte benzer olayların yaşanmasını önlemek için güvenlik önlemlerini artırdıklarını" belirtiyorlar. Bu ifadeler, her veri ihlali sonrasında duyduğumuz standart bir metin gibi.

Ancak satır aralarını okumak gerek. Şirket, saldırının Mart ayında olduğunu ama bildirimin neden Mayıs sonunda yapıldığını net bir şekilde açıklamıyor. Yasal süreçler ve soruşturmanın zaman aldığı bir gerçek. Ancak iki aylık bir gecikme, kurbanların kendilerini korumak için değerli zaman kaybetmesine neden oldu. Bu sürede kaç kişinin adına sahte hesaplar açıldı, kaç sahte sigorta talebi yapıldı? Bunu bilmek imkansız. Şirket, etkilenen herkese bildirim mektupları göndereceğini ve bir yıllık ücretsiz kimlik hırsızlığı koruma hizmeti sunacağını vaat ediyor. Ancak Sosyal Güvenlik Numarası gibi ömür boyu geçerli bir bilginin çalınması karşısında bir yıllık koruma, yara bandından farksız. Bu ihlal, şirketin sadece dijital güvenliğini değil, aynı zamanda hasta güvenine olan itibarını da derinden sarsmış durumda.

Kaynak

https://www.securityweek.com/266000-affected-by-data-breach-at-radiology-associates-of-richmond/