ABD'nin en büyük böbrek bakımı ve diyaliz hizmeti sağlayıcılarından biri olan DaVita, yaklaşık 2,7 milyon kişiyi etkileyen bir veri ihlalinden kaynaklanan önerilen toplu davayı çözmek için 15 milyon dolar ödemeyi kabul etti. Şirket, geçen hafta Colorado eyaletindeki bir hâkim tarafından onaylanan sulh anlaşmasını imzaladı, ancak anlaşma hâlâ ön onay aşamasında.
Dava, Nisan 2025'te Interlock grubu tarafından gerçekleştirilen ve DaVita'nın ABD'de 2.600'den fazla ayakta diyaliz merkezini yöneten sistemlerini hedef alan bir fidye yazılımı saldırısıyla ilgili. Şirket, saldırıyı keşfettikten sonra olaya müdahale ederken manuel prosedürlere dönmek ve yedekleme sistemlerine güvenmek zorunda kaldığını söyledi.
Hangi veriler tehlikeye girdi?
Davada ve sulh anlaşmasında yer alan bilgilere göre ihlal; hastaların adlarını, adreslerini, Sosyal Güvenlik numaralarını, sağlık sigortası bilgilerini ve diyalizle bağlantılı laboratuvar testi sonuçlarını, ayrıca şirket adına düzenlenmiş çeklerin görüntülerini açığa çıkarmış olabilir.
İlk hukuki şikâyetlerden birinde yer alan bilgilere göre saldırganlar fidye almayı başaramayınca Interlock, mağdurların kişisel bilgilerini karanlık ağda yayımladı. Health Information Sharing and Analysis Center'a göre grup, veri hırsızlığı ile sistemleri şifrelemeyi ve bilgileri sızdırma tehdidini birleştiren çifte şantaj yöntemini kullanıyor.
Maliyet sulh bedelini aşıyor
Habere göre saldırı, 2025 yılı boyunca DaVita'ya yaklaşık 25 milyon dolara mal oldu ve en az on davanın açılmasına yol açtı. Bu davalar daha sonra tek bir şikâyette birleştirildi ve şu anda bu şikâyet çözüme kavuşturuluyor. Davacılar ise sulh anlaşmasına göre, sızdırılan verilerin niteliği nedeniyle süregelen dolandırıcılık ve kimlik hırsızlığı riski de dahil olmak üzere çeşitli zararlara maruz kaldı.
DaVita saldırıyı hızlı bir şekilde ele aldığı bir olay olarak nitelendirdi ve bir sözcüsü, şirketin kişisel bilgileri korumanın öneminin farkında olduğunu ve siber savunmalarını güçlendirmeyi sürdürdüğünü söyledi. Kaynak, bu savunmalar veya şirketin olaydan sonra uygulamaya koyduğu operasyonel değişiklikler hakkında teknik ayrıntılar sunmuyor.
Bu haber neden önemli?
Dava, bir sağlık kuruluşuna yönelik fidye yazılımı saldırısının etkisinin yalnızca sistemlerin durmasından veya doğrudan kurtarma maliyetinden ibaret olmadığını ortaya koyuyor. Manuel prosedürlere dönüş iş akışını etkileyebilirken, hasta verilerinin sızdırılması, özellikle Sosyal Güvenlik numaralarını, test sonuçlarını ve sigorta bilgilerini içerdiğinde, uzun vadeli bir hukuki ve gizlilik boyutu ekliyor.
Saldırının sağlık sektörünü hedef almasıyla bilinen bir grupla bağlantılı olması da sistemler izole edildiğinde yedeklemeleri korumanın ve hizmeti sürdürme kapasitesine sahip olmanın önemini gösteriyor; fidye ödenmemesinin riskleri sona erdireceği varsayılmamalı. Bununla birlikte, mevcut bilgiler tek başına ihlalin nedenini veya DaVita'nın yeni güvenlik önlemlerinin ne ölçüde başarılı olduğunu kanıtlamıyor ve nihai hukuki sorumluluğu da henüz kesinleştirmiyor.
Habere göre mahkeme nihai onay duruşmasının tarihini henüz belirlemedi; duruşmanın gelecek yıl yapılması bekleniyor. Bu nedenle 15 milyon dolar, bu aşamada nihai bir hükmü veya talepler için kesinleşmiş bir ödemeyi değil, önerilen bir sulh anlaşmasını ifade ediyor.