Kapsamlı Veri İhlali, ABD Sağlık Sisteminde 100 Milyon Kişiyi Etkiliyor

Bir büyük veri ihlalinde, UnitedHealth’ın Şubat ayında Change Healthcare’ı hedef alan bir fidye yazılımı saldırısında 100 milyondan fazla kişinin kişisel ve sağlık bilgilerinin çalındığını doğruladı. Bu olay, BleepingComputer (BC)’ya göre son yılların en kapsamlı sağlık veri ihlallerinden biri olarak kabul ediliyor.

ABD genelinde sigorta ve fatura verilerinin önemli bir işlemcis olan Change Healthcare, Amerikalıların üçte birinin sağlık bilgilerini işliyor. Bu ihlal, binlerce hastane, eczane ve tıbbi uygulama boyunca hassas verileri açığa çıkardı ve TechCrunch (TC)’nin belirttiği gibi ABD sağlık veri altyapısındaki zayıf noktaları vurguladı.

BC, Haziran aylarındaki ihlalden sonraki aylarda Change Healthcare’nin çalınan verilerin geniş bir hassas bilgi yelpazesini içerdiğini açıkladığını bildiriyor.

Sağlık sigortası ayrıntıları, tıbbi kayıtlar, ödeme ve faturalandırma bilgileri ile Sosyal Güvenlik ve sürücü belgesi numaraları gibi kişisel belirleyiciler, tehlikeye atılan veriler arasındaydı. Ancak, BC’nin belirttiği gibi, her etkilenen kişinin tıbbi geçmişi ortaya çıkmadı.

ABD Sağlık ve İnsan Hizmetleri Bakanlığı’nın Sivil Haklar Ofisi (OCR), olayını ihlal raporuna yakın zamanda bir güncelleme getirdi. OCR, SSS sayfasında, “bu ihlal hakkında yaklaşık 100 milyon bireysel bildirim gönderildi” diye belirtti.

Bu ayın başlarında, Reuters, Change Healthcare’ın ihlalden dolayı önemli işletme aksamaları beklediğini ve ödeme gecikmeleri ve hizmet kesintileri nedeniyle 705 milyon dolarlık finansal etki tahmin ettiğini bildirdi. UnitedHealth, sağlık hizmetleri sağlayıcılara milyarlarca dolarlık krediler vererek ve etkilenen müşteriler için bildirim maliyetlerini karşılayarak yanıt verdi.

TC, saldırının ilk kez Şubat ayında Change Healthcare’in ağının büyük bir kısmını ihlali durdurmak için kapattığı ve sağlık sektöründe hemen hizmet kesintilerine neden olduğu bir dönemde, ALPHV/BlackCat fidye yazılım grubuna atfedildiğini bildiriyor.

Saldırının ardından, ALPHV/BlackCat, UnitedHealth tarafından ödenen bildirilen 22 milyon dolarlık fidye ile ortadan kayboldu. İç anlaşmazlıklar sonrasında, saldırıya karışan yükleniciler yeni bir grup oluşturdu, ikinci bir şantaj girişimi yaptı ve taleplerinin kanıtı olarak çalınan bazı verileri çevrimiçi olarak sızdırdılar, bu TC tarafından bildirildi.

Change Healthcare şirketinin çalınan verilerin bir kopyasına erişimi, etkilenen bireyleri belirlemesine ve uyarmasına olanak sağladı, dedi TC. Verilerin tamamen silindiğine dair bir kanıt olmasa da, LockBit gibi diğer fidye yazılım gruplarının, kurbanların fidye taleplerine uymalarının ardından bile çalınan verileri saklama eğiliminde olduklarını TC belirtti.