Epic, Hasta Verilerini Riseke Atan Açıkları Kapatıyor

ABD sağlık sektörünün en yaygın yazılım sağlayıcılarından Epic, hasta verilerini korumak amacıyla ürün geliştirme çalışmalarının büyük bölümünü geçici olarak durdurdu. Kararın merkezinde, şirketin MyChart yazılımında tespit edilen ve bazı müşteri yapılandırmalarında yetkisiz kişilerin hasta kayıtlarına erişmesine izin verebilecek güvenlik açıkları bulunuyor.

Epic’in kurucusu ve CEO’su Judy Faulkner, geçen ay yaptığı açıklamada güvenlik çalışmalarının yaklaşık altı hafta sürmesinin beklendiğini söyledi. Şirket, bu süre boyunca ürünlerini ve sistemlerini siber saldırılara karşı güçlendirmeye odaklanıyor. Ürün geliştirmesinin durdurulması, güvenlik açıklarının yazılım ekosisteminde taşıdığı riskin Epic tarafından ne kadar ciddi değerlendirildiğini gösteriyor.

MyChart kayıtlarına iz bırakmadan erişim ihtimali

Güvenlik sorunlarının teknik ayrıntıları kamuoyuyla paylaşılmadı. Ancak Epic’in baş güvenlik yöneticisi Stirling Martin, bazı MyChart müşteri yapılandırmalarının dışarıdan kişilerin hasta kayıtlarına erişmesine ve bu erişimin yazılım günlüklerine yansımamasına yol açabileceğini belirtti.

Normal şartlarda sistem günlükleri, kimlerin hangi verilere eriştiğini takip etmek ve şüpheli hareketleri incelemek için kullanılır. Bir saldırının bu kayıtlarda görünmeden gerçekleşebilmesi, sağlık kuruluşlarının ihlali fark etmesini zorlaştırabilir. Martin, yapay zekâ modelinin bu açığın hasta kayıtlarını tespit edilmeden değiştirmek için kullanılıp kullanılamayacağını ortaya koymadığını aktardı. Buna rağmen erişim riskinin giderilmesi için yeterli olduğunu savundu.

Epic, MyChart kullanan sağlık kuruluşlarının verilerine doğrudan erişmediğini belirtiyor. Hasta kayıtlarından hastaneler, doktor muayenehaneleri ve diğer sağlık hizmeti sağlayıcıları sorumlu tutuluyor. Buna karşın Epic’in yazılımındaki bilinmeyen bir açık, ABD’nin farklı bölgelerinde bulunan birden fazla MyChart sisteminin saldırıya uğramasına ve bu sistemlerdeki verilerin ele geçirilmesine zemin hazırlayabilir.

MyChart’ın ölçeği sağlık verilerini cazip hedef yapıyor

MyChart, ABD genelindeki hastaneler ve doktor muayenehanelerinde 320 milyondan fazla hasta kaydının yönetilmesinde kullanılıyor. Bu büyüklük, tek bir yazılım ekosistemindeki güvenlik sorununun neden yalnızca tek bir kurumla sınırlı kalmayabileceğini ortaya koyuyor.

Şirketlerin güvenlik açıklarını gidermek için ürün geliştirmesini durdurması teknoloji sektöründe sık görülen bir uygulama değil. Ancak yapay zekâ destekli güvenlik araçları, açıkları daha hızlı bulma ve bazı durumlarda kötüye kullanma potansiyeli taşıyor. Bu durum, savunma ekipleri kadar saldırganların da daha geniş sistemleri daha kısa sürede inceleyebilmesi endişesini artırıyor.

Sağlık sektörü, içerdiği bilgilerin hassasiyeti nedeniyle fidye yazılımı gruplarının başlıca hedefleri arasında yer alıyor. Saldırganlar; tıbbi geçmiş, kimlik bilgileri ve sigorta kayıtları gibi verilerin internette yayımlanmasını önlemek isteyen kurumların ödeme yapacağını varsayıyor.

Sağlık sektöründeki ihlaller büyüyor

2024 yılında sağlık sigortası ve ödeme işlemleri için kullanılan Change Healthcare’e düzenlenen fidye yazılımı saldırısında 192 milyondan fazla kişinin sağlık verileri çalındı. Şirket, verilerin yayımlanmaması için saldırganlara iki kez ödeme yaptı.

2026 içinde de sağlık ve teknoloji şirketlerini etkileyen birden fazla veri ihlali yaşandı. CareCloud saldırısında tıbbi kayıtlar, ilaç dağıtıcısı McKesson olayında ise milyonlarca satır hasta verisi çalındı. Kuzey Amerika’da kullanılan yazılımları geliştiren Birleşik Krallık merkezli Craneware de miktarı açıklanmayan bir veri hırsızlığıyla karşı karşıya kaldı.

ABD Sağlık ve İnsan Hizmetleri Bakanlığı’nın listesine göre, 2026’nın şu ana kadarki en büyük sağlık verisi ihlali, diş sigortası şirketi DentaQuest’te yaşandı ve olay 15 milyon kişiyi etkiledi. Epic’in geliştirmeyi geçici olarak yavaşlatması, sağlık yazılımlarında güvenlik kontrollerinin ürün takvimlerinin önüne geçebildiğini gösteriyor. Şirketin açıkların kapsamı ve etkilenen yapılandırmalar hakkında daha fazla teknik bilgi verip vermeyeceği ise henüz bilinmiyor.