Quest Diagnostics: Hasta verileri siber saldırıyla ele

Sağlık sektörünün küresel liderlerinden Quest Diagnostics, Quanum adlı laboratuvar test yönetim platformunda hasta kişisel ve sağlık verilerinin siber saldırıyla ele geçirildiğini resmen doğruladı. Şirket, saldırının 22 Ekim 2023 tarihinde tespit edildiğini ancak ne zaman başladığını henüz açıklamadı. ABD Menkul Kıymetler ve Borsa Komisyonu’na (SEC) yaptığı 8-K formu aracılığıyla duyuruda bulunan Quest, saldırganların hasta kayıtlarına erişim sağladığını ancak hangi verilerin tamamen ele geçirildiğini henüz belirlemedi. Bu duyuru, sağlık verilerinin siber suçlular tarafından hedef alınmasının artan riskini bir kez daha vurguluyor.

Quanum platformu, 500.000’den fazla klinik, hastane ve sağlık kuruluşu tarafından Kuzey Amerika’da kullanılıyor. Şirketin resmi belgelerine göre, bu tür sistemler ele geçirilen verilerin kapsamı ve sayısı henüz açık değildir, ancak potansiyel olarak milyonlarca hasta kaydını içerebilecek kritik bilgilere sahip olabilir. Bu da, saldırganların potansiyel olarak milyonlarca hasta için kritik bilgilere ulaşabileceği anlamına geliyor. Quest’in Quanum platformunun kullanıcı sayısının bu kadar geniş olması, saldırının etkili alanı ve potansiyel zararının büyüklüğünü artırıyor.

Quest, saldırıyı nasıl yöneteceği ve verilerin ne kadarını kurtarabileceği gelecek günlerde daha netleşecek. Şirket, yetkililere bildirdiğini ve soruşturma yürüttüğünü belirtirken, saldırganların ne tür taleplerde bulunduğunu veya verilerin ne kadarının tamamen ele geçirildiğini henüz paylaşmadı. Ayrıca, saldırganların hangi yöntemlerle erişim sağladığı konusunda detaylı bir açıklama henüz yapılmamış.

Sağlık sektöründeki siber saldırı dalgası: Neden bu kadar sık?

Quest’in saldırısı, sağlık sektöründeki siber saldırı dalgasının yeni bir örneği olarak dikkat çekiyor. Bu yıl içinde, Boston Scientific’ın ağının haftalarca devre dışı kalması, Stryker’ın çalışan cihazlarının silinmesi ve veri kaybına uğraması, CareCloud’ın milyonlarca hasta kaydının ele geçirilmesi ve McKesson’ın farmasötik tedarik zincirindeki verilerin hedef alınması gibi olaylar yaşandı. Bu saldırılar, sağlık verilerinin yüksek maliyetli ve satılabilir olduğunu gösteriyor; çünkü bu veriler kimlik hırsızlığı, sağlık sigortası dolandırıcılığı veya siber şantaj için kullanılır.

Sağlık verilerinin siber suçlular tarafından hedef alınmasının bir diğer nedeni de yavaş tepki sürecidır. Sağlık kuruluşları, verilerin hassasiyetine ve hasta haklarına saygı göstermek zorunda olduklarından, saldırganlar genellikle verileri satmak veya yayınlamak için baskı yaratmak için ransom talepleri kullanırlar. Örneğin, 2022’de, bir sağlık kuruluşunun verilerini ele geçiren bir grup, hastaların hasta kayıtlarını yayınlamakla tehdit ederek ransom ödemesi talep etmişti. Bu tür tehditler, kuruluşların verileri kurtarmak için ransom ödemesi yapmaya zorlanmasına yol açabiliyor.

Quest’in saldırısı, sağlık sektörünün siber güvenlik konusunda daha ciddi adımlar atması gerektiğini bir kez daha gösteriyor. Şirket, 2019’da bir üçüncü taraf ödeme sağlayıcısının siber saldırısına maruz kaldığında, 11,9 milyon hasta kaydının ele geçirildiğini açıklamıştı. Bu, o dönemde ABD’deki en büyük sağlık verisi sızıntılarından biriydi. Olaydan bu yana geçen 4 yıl içinde, şirket siber güvenlik yatırımlarını artırmak ve veri koruma önlemlerini güçlendirmek için adımlar attıysa da, bu yeni saldırı şirketin sistemlerinin hala zayıf noktalara sahip olduğunu gösteriyor. Özellikle, Quanum platformunun geniş kullanıcı tabanı ve kritik veriler barındırması nedeniyle, bu tür saldırılara karşı daha güçlü koruma önlemleri gereklidir.

Saldırganların hedefi: Hasta verilerinin ne kadarının ele geçirildiği ve hangi veriler?

Quest, saldırı sonrası yaptığı açıklamada, hasta kayıtlarının bir kısmının ele geçirildiğini ancak hangi verilerin tamamen etkilenip etkilenmediğini henüz belirlemedi. Ancak, sağlık verilerinin genellikle şu kategorilerden oluşması nedeniyle, saldırganların potansiyel olarak şu bilgilere ulaşabileceği düşünülüyor:

• Kişisel bilgiler: Ad, soyad, doğum tarihi, adres, telefon numarası, e-posta adresi, sigorta numarası ve kimlik numaraları.
• Tıbbi geçmiş: Hastalıklar, operasyonlar, ilaç kullanımı, alerjiler ve tıbbi test sonuçları.
• Laboratuvar sonuçları: Kan testleri, biyopsi sonuçları, radyoloji görüntüleri ve diğer tıbbi analizler.
• Ödeme ve sigorta bilgileri: Sigorta politikaları, ödeme yöntemleri ve mali detaylar.
• Hastane ve klinik kayıtları: Tedavi geçmişi, doktor raporları ve hasta bakım planları.

Bu verilerin bir kısmının ele geçirilmesi, hastaların kimlik hırsızlığına, dolandırıcılığa veya sağlık hizmeti almak için kötü niyetli kullanıma maruz kalmasına yol açabilir. Örneğin, sağlık sigortası numaraları kullanılarak yanlış tedavi ödemeleri yapılarak dolandırıcılık veya hastanın adına sağlık hizmeti alarak sağlık sistemini kötüye kullanmak mümkündür.

Sağlık sektöründeki siber güvenlik eksiklikleri: Neden bu kadar tehlikeli?

Sağlık sektörünün siber saldırılara karşı hassasiyetinin bir nedeni, kullanılan teknolojilerin genellikle eski ve güncellenmemiş olmasıdır. Örneğin, hastane ağları ve laboratuvar sistemleri, güvenlik güncellemelerini yavaş yavaş uygulayan kuruluşlar tarafından kullanılır. Bu, saldırganların eski yazılım zayıflıklarından yararlanmasına olanak tanır.

Bir diğer önemli faktör de verilerin merkezi olmayan depolanmasıdır. Sağlık verileri, hastaneler, klinikler ve laboratuvarlar arasında paylaşılır, ancak bu verilerin güvenli bir şekilde taşınması ve depolanması konusunda standartlar henüz tam olarak uygulanmamıştır. Bu, verilerin birden fazla noktada tehlikeye maruz kalmasına yol açar.

Sağlık sektörünün siber güvenlik konusunda karşılaştığı bir diğer zorluk da yasal ve etik kısıtlamalardır. Örneğin, HIPAA (Sağlık Verilerinin Portabilitesi ve Hesap Verilmesi Yasası), sağlık verilerinin korunması gerektiğini belirtse de, bu yasa, verilerin nasıl korunacağı konusunda detaylı talimatlar sağlamaz. Bu da, kuruluşların siber güvenlik önlemlerini belirlerken esnekliği sınırlar.

Hastalar ve sağlık kuruluşları ne yapabilir?

Quest’in Quanum platformunu kullanan tüm sağlık kuruluşları ve hastalar potansiyel olarak etkilenebilir. Ancak, hasta verilerinin hangi kısmının ele geçirildiği ve hangi hastaların bilgileri tehlike altında olduğunun tam listesi henüz açıklanmadı. Etkilenen hastalar, Quest’in resmi güvenlik duyurusunu takip edebilir ve verilerinin korunduğunu doğrulamak için sağlık kuruluşlarıyla iletişime geçebilirler.

Quest’in hackerlarla iletişime geçip geçmediği veya ransom talebi olup olmadığı henüz açıklanmadı. Ancak, sağlık sektöründeki diğer kuruluşlar ransom ödemeleri yapmak yerine, verileri kurtarmak için uzmanlara başvurmuşlardır. Bu da, ransom ödemesinin saldırganların daha fazla saldırıya teşvik edilmesi riskini taşıdığını gösteriyor. Örneğin, 2021’de, bir sağlık kuruluşu ransom ödemeyi reddedince, saldırganlar verileri yayınlamadı ve kuruluş verilerini kurtarmayı başardı.

Hastalar, verilerini korumak için şu adımları atabilir:

• İki faktörlü kimlik doğrulama (2FA) kullanmak: Sağlık kuruluşları ve banka hesapları için 2FA etkinleştirmek, verilerinizi daha güvenli hale getirir.
• Şüpheli e-postaları ve mesajları kontrol etmek: Phishing saldırıları, sağlık verilerine erişim sağlayan en yaygın yöntemlerden biridir. Şüpheli gönderileri açmadan önce dikkatli olun.
• Düzenli güvenlik güncellemeleri yapmak: Cihazlarınızın ve yazılımlarının güncel olmasını sağlayın. Güvenlik güncellemeleri, bilinen zayıflıkları giderir.
• Verilerinizi şifrelemek: Kişisel verilerinizi şifreleyerek, verilerinizin çalınması halinde kötü niyetli kullanıcılar tarafından kullanılmasını zorlaştırın.
• Sağlık kuruluşlarınızla iletişime geçmek: Verilerinizin nasıl korunduğunu ve hangi önlemlerin alınmakta olduğunu sorgulayın.

Sağlık kuruluşları ise şu önlemleri almalıdır:

• Siber güvenlik yatırımlarını artırmak: Güvenlik yazılımı, siber güvenlik uzmanları ve düzenli risk değerlendirmeleri yapın.
• Verileri şifrelemek: Hasta verilerini şifreleyerek, verilerin çalınması halinde kötü niyetli kullanıcılar tarafından kullanılmasını önleyin.
• Yetkilendirme ve erişim kontrolü: Hasta verilerine erişimi yalnızca gereken kişilere sınırlayın.
• Saldırı simülasyonları yapmak: Kuruluşunuzun siber saldırılara nasıl tepki vereceğini test edin.
• Yetkililere bildirme: Veri sızıntıları veya saldırılar halinde, ABD Sağlık Hizmetleri Güvenlik İdaresi (HHS)’ne ve hasta hakları kuruluşlarına hemen bildirin.

Quest’in saldırısını takip etmek isteyenler, ABD Sağlık Hizmetleri Güvenlik İdaresi (HHS)’nin veritabanı sızıntılarıyla ilgili güncellemelerini takip edebilir. Şirketin resmi güvenlik sayfası ise şu anda arama motorları tarafından görüntülenmiyor, bu da hasta ve sağlık kuruluşlarının bilgilendirilmesini zorlaştırıyor. Bu tür durumlarda, hastalar ve sağlık kuruluşları, resmi kanallar aracılığıyla duyuruları takip etmelidir.

Gelecekteki siber tehditler: Sağlık sektörü için ne bekliyoruz?

Quest’in saldırısı, sağlık sektörünün siber güvenlik konusunda daha ciddi adımlar atması gerektiğini bir kez daha kanıtlıyor. Gelecekte, sağlık verilerinin siber suçlular tarafından hedef alınması artmaya devam edecek ve bu tür saldırılara karşı daha güçlü koruma önlemleri gereklidir.

Birkaç gelecek senaryosu şu şekildedir:

• Artan ransomware saldırıları: Saldırganlar, verileri şifreleyerek ve ransom ödemesi talep ederek daha fazla kuruluşu hedef alacaklar. Bu tür saldırılar, kuruluşların iş süreçlerini durduracak ve hasta bakımını etkileyecek.
• Veri satışları ve dolandırıcılık: Saldırganlar, ele geçirdikleri verileri satarak veya dolandırıcılık için kullanarak daha fazla kazanç elde edecekler. Bu da, hastaların kimlik hırsızlığına ve finansal zarara maruz kalma riskini artıracak.
• Yeni siber silahlar: Saldırganlar, yeni ve daha karmaşık siber silahlar geliştirerek, kuruluşların mevcut koruma önlemlerini aşacaklar. Bu, sağlık kuruluşlarının sürekli olarak güncellenen siber güvenlik çözümlerine ihtiyaç duyacaklarını gösteriyor.
• Yasal ve düzenleyici değişiklikler: Sağlık verilerinin korunması konusunda daha sıkı yasalar ve düzenlemeler getirilebilir. Bu, kuruluşların siber güvenlik önlemlerini daha da artırmasına yol açabilir.

Sonuç olarak, sağlık sektörünün siber güvenlik konusunda daha ciddi adımlar atması, hem hasta verilerinin korunmasını hem de kuruluşların iş süreçlerinin sürdürülmesini sağlayacaktır. Hastalar ve sağlık kuruluşları, verilerini korumak için daha fazla önlem almalıdır. Bu tür saldırılara karşı, iki faktörlü kimlik doğrulama, verileri şifreleme, düzenli güvenlik güncellemeleri ve siber güvenlik uzmanlarıyla işbirliği gibi önlemler alınmalıdır.

Quest’in saldırısı, sağlık sektörünün siber güvenlik konusunda daha ciddi adımlar atması gerektiğini bir kez daha vurguluyor. Bu tür saldırılara karşı daha güçlü koruma önlemleri almak, hem hasta verilerinin korunmasını hem de sağlık hizmetlerinin sürdürülmesini sağlayacaktır.