ABD'li sağlık hizmetleri şirketi AdaptHealth, bir siber saldırının yaklaşık 4,1 milyon kişi, yani 4.115.802 kişinin verilerinin açığa çıkmasına yol açtığını doğruladı. Şirket, uyku apnesi tedavisi ekipmanları, solunum destek cihazları, oksijen tedavisi, hastane yatakları ve hareketlilik ürünleri dahil olmak üzere evde kullanılan tıbbi cihaz, malzeme ve hizmetler sunuyor.
AdaptHealth, olayı ilk olarak 2 Temmuz 2026 tarihinde ABD Menkul Kıymetler ve Borsa Komisyonu'na (SEC) yaptığı bildirimde açıklamış ve saldırganların sistemlerine girerek özel verileri çıkarmayı başardığını belirtmişti. Sonraki soruşturma, ihlalin daha önce başladığını ve bulut tabanlı iş uygulamalarına, hastaları yönetmeye yönelik dahili sistemlere, belge depolama platformlarına ve elektronik sağlık kayıt sistemlerinin portallarına erişimi içerdiğini ortaya koydu.
Hangi veriler açığa çıktı?
Şirket, 14 Ağustos'ta yayımlanan güncellemede ihlalin 5 Haziran'da gerçekleştiğini ve etkilenen verilerin şunları içerebileceğini söyledi:
- Tam adlar ve iletişim bilgileri.
- Demografik bilgiler.
- Sağlık sigortası bilgileri.
- Sağlık bilgileri.
AdaptHealth, bir tehdit aktörünün çalınan verileri yayımlamamak karşılığında fidye talep etmek üzere 15 Haziran'da kendisiyle iletişime geçtiğini açıkladı. Şirket, giriş noktasının harici bir yükleniciye ait yüksek ayrıcalıklı bir hesabın ele geçirilmesini sağlayan bir sosyal mühendislik kampanyası olduğunu belirtti.
Şirketin internet sitesine göre AdaptHealth, Temmuz 2024 verilerine göre 680 tesisten oluşan bir ağ aracılığıyla ABD'nin 50 eyaletinin tamamında yaklaşık 4,1 milyon hastaya hizmet veriyordu. Şirket ayrıca ABD Sağlık ve İnsan Hizmetleri Bakanlığı'na bildirimde bulundu ve etkilenen kişi sayısını 4.115.802 olarak belirtti.
ShinyHunters'ın saldırıyla bağlantısı
HIPAA Journal'ın daha önce yayımladığı bir haber, grubun AdaptHealth'in adını kurbanlar listesine eklemesine dayanarak saldırının arkasında ShinyHunters grubunun olduğunu bildirdi. Ancak BleepingComputer, şirketin ShinyHunters'ın gasp portalında yer aldığını görmedi; bu da grubun listelemeyi daha sonra kaldırmış olabileceğine işaret ediyor. Bu nedenle, mevcut bilgilerde saldırının gruba atfedilmesi AdaptHealth'in doğrudan doğrulamasına değil, bu göstergeye dayanıyor.
Bu haber neden önemli?
Olayın önemi etkilenen kişi sayısının ötesine geçiyor; zira saldırganların eriştiği sistemler kimlik belirleyici, finansal ve sağlık verilerini bir araya getiriyor. Bu veri kategorileri, herhangi bir sızıntının hastalar üzerindeki etkilerini daha hassas hale getirebilir. Olay ayrıca, yüksek ayrıcalıklara sahip bir harici yüklenici hesabının ele geçirilmesinin, belirli bir yazılım açığından yararlanıldığına dair bir işaret bulunmasa bile bulut uygulamalarına ve hastaların yönetimiyle bağlantılı sistemlere erişim sağlayabileceğini gösteriyor.
AdaptHealth, açıklamasını yaptığı tarihe kadar kimlik hırsızlığına, dolandırıcılığa veya çalınan verilerin kötüye kullanılmasına ilişkin bir kanıt bulamadığını söyledi. Şirket ayrıca etkilenen kişilerin, kredi izleme ve kimlik hırsızlığına karşı koruma hizmetlerine 12 ay boyunca ücretsiz kaydolma talimatlarını içeren bildirimleri almış olmaları gerektiğini belirtti.
Olayın boyutunun doğrulanması, Aesto Health, CareCloud ve Unlimited Technology Systems adlı sağlık hizmetleri ve tıbbi teknoloji şirketlerinin benzer açıklamalarının ardından geldi. McKesson ve Nutex Health de önceki ayın sonlarında siber saldırı olaylarını duyurdu; ancak rapor yayımlandığı sırada etkilenen kişi sayısını açıklamadı.