Bloomberg'in Teksas Başsavcılığına ait bir rapora dayandırdığı haberine göre, Oracle Health'in eski sağlık kayıt sistemlerini hedef alan bir siber ihlal, yaklaşık 20 milyon kişinin kişisel ve tıbbi verilerini riske atmış olabilir. Bu sayı, hastalara yönelik önceki bildirimlerde ve düzenleyici kurumlara yapılan başvurularda yer alan rakamların oldukça üzerinde.
Oracle, etkilenen kişilerin sayısını doğrulayan kamuya açık bir açıklama yapmadı ve Bloomberg kendisine bu rakamı sorduğunda yorum yapmayı reddetti. Yaklaşık 20 milyon kişilik toplam doğrulanırsa olay, Amerika Birleşik Devletleri'nde kayda geçen en büyük sağlık hizmetleri veri ihlallerinden biri olacak.
İhlal nasıl gerçekleşti?
Oracle, Mart 2025'te müşterilerine, henüz Oracle Cloud'a taşınmamış eski bir sunucuda depolanan bazı Cerner verilerine yetkisiz erişim sağlandığını bildirdi. Şirket, mevcut kanıtların saldırganın müşterilerden birine ait çalınmış kimlik bilgilerini kullanarak 22 Ocak 2025'ten bir süre sonra sunucuya eriştiğini ve ardından verileri uzak bir sunucuya kopyaladığını gösterdiğini söyledi.
Oregon eyaletindeki düzenleyici kurumlara yapılan başvurular, ihlal döneminin 22 Ocak ile 1 Nisan 2025 arasında uzandığını, olayın ise aynı yılın 20 Şubat'ında tespit edildiğini gösteriyor.
Hangi tür veriler etkilenmiş olabilir?
Cerner'in Kaliforniya'daki düzenleyici kurumlara sunduğu bir bildirim mektubu örneği, olası bilgilerin kişilerin adlarını ve Sosyal Güvenlik numaralarını yanı sıra tıbbi kayıtlarda yer alan tıbbi dosya numaraları, doktor adları, tanılar, ilaçlar, test sonuçları, görüntüler ve bakım ile tedavi bilgileri gibi verileri içerdiğini ortaya koyuyor.
Şimdiye kadar yayımlanan bildirimler, eyaletler arasında etkinin boyutunda büyük farklılıklar olduğunu gösteriyor. Teksas Başsavcılığı portalında 2.992.244 etkilenen kişi listelenirken, Güney Carolina ve Washington'daki bildirimlerde sırasıyla yaklaşık 283 bin ve 69 bin kişiye işaret edildi.
Bu haber neden önemli?
Olayın önemi yalnızca olası kişi sayısının büyüklüğünden değil, hedef alınan verilerin niteliğinden de kaynaklanıyor. Kimlik bilgileri ve Sosyal Güvenlik numarasıyla birlikte tıbbi kayıtlara erişilmesi, sıradan iletişim bilgilerinin sızdırılmasının ötesinde dolandırıcılık ve mahremiyet ihlali risklerini artırabilir. Olay ayrıca kurumlar daha yeni bulut altyapılarına geçerken eski sistemlerde kalabilecek operasyonel risklere de dikkat çekiyor.
O dönemde kaynaklar, etkilenen hastanelere yönelik şantaj girişimlerinin «Andrew» adıyla bilinen bireysel bir tehdit aktörüne atfedildiğini, ancak bu kişinin bilinen bir şantaj veya fidye yazılımı çetesiyle bağlantısının açıklanmadığını bildirmişti. Saldırgan milyonlarca dolar değerinde kripto para talep etti ve mağdurlar üzerinde baskı kurmak, verilerin yayımlanmasını veya satılmasını engellemek amacıyla kamuya açık siteler oluşturdu.
Oracle, Cerner'i Haziran 2022'de yaklaşık 28,3 milyar dolar değerindeki bir anlaşmayla satın aldı ve şirket o tarihten bu yana Oracle Health adıyla faaliyet gösteriyor. Daha büyük bir karşılaştırma noktası ise açıklanan rakamlara göre 192,7 milyon kişiyi etkileyen 2024'teki Change Healthcare fidye yazılımı saldırısı. Oracle Health'in nihai bilançosu, şirket veya düzenleyici kurumlar kapsamlı ve doğrulanmış bir sayı açıklayana kadar belirsizliğini koruyor.