Quest Diagnostics siber saldırıda hasta verilerinin çalındığını doğruladı

ABD merkezli laboratuvar hizmetleri şirketi Quest Diagnostics, sistemlerinden birini hedef alan siber saldırıda hastalara ait kişisel ve sağlık bilgilerinin ele geçirildiğini doğruladı. Şirketin ABD Menkul Kıymetler ve Borsa Komisyonu’na (SEC) yaptığı bildirimde, saldırının doktor muayenehaneleri, hastaneler ve sağlık kuruluşlarının laboratuvar testi talep etmesini sağlayan Quanum platformunu etkilediği belirtildi.

Quest, saldırıyı çarşamba günü öğrendiğini ve yetkisiz erişimin bazı hasta kayıtlarını kapsadığını bildirdi. Ancak olaydan kaç kişinin etkilendiği, hangi sağlık kuruluşlarının verilerinin risk altında olduğu ve saldırganların hangi bilgi türlerine ulaştığı henüz açıklanmadı. Şirket, soruşturmanın sürdüğünü ve kolluk kuvvetlerine haber verildiğini kaydetti.

Quanum üzerinden hangi bilgiler tutuluyor?

Quanum, sağlık kuruluşlarının hastalar için laboratuvar testleri istemesine ek olarak faturalandırma süreçlerinde de kullanılıyor. Bu nedenle platformda hasta kayıtlarının yanı sıra tıbbi ve tanısal bilgiler ile ödeme ve faturalandırmayla bağlantılı veriler bulunabiliyor. Quest, web sitesindeki bilgilendirmesinde bazı hastalara ait korunan sağlık bilgilerinin, kişisel bilgilerin ve hasta kayıtlarının alındığını doğruladı. Ele geçirilen verilerin ayrıntılı dökümü ise henüz paylaşılmadı.

Platformun kullanım ölçeği, olayın kapsamına ilişkin belirsizliği daha da önemli kılıyor. Quest’in tanıtım materyallerine göre Quanum, Kuzey Amerika’da binlerce noktada yaklaşık yarım milyon klinisyen tarafından kullanılıyor. Bu rakam platformdaki hasta sayısını ya da ihlalden etkilenen kişi sayısını göstermiyor; şirket de kaç sağlık kuruluşunun ve hastanın saldırıdan etkilendiğini açıklamış değil.

Quanum’un tuttuğu toplam kayıt sayısı da bilinmiyor. Quest’in yayımladığı bir vaka çalışmasında, altı milyondan fazla hastaya hizmet veren tek bir sağlık sisteminin yüz milyonlarca bağlantılı tıbbi belge ve çizelge barındırabildiği aktarılıyor. Bu örnek, sağlık sistemlerinde verilerin ne ölçüde birikebildiğini gösterse de Quanum’daki kayıt miktarını veya bu saldırıda alınan verilerin hacmini ortaya koymuyor.

Soruşturma sürüyor, saldırganların talepleri bilinmiyor

Quest saldırının ne zaman başladığını açıklamadı. Olayın arkasında hangi kişi ya da grubun bulunduğu, şirketten fidye talep edilip edilmediği veya verilerin yayımlanmasıyla tehdit edilip edilmediği konusunda da bilgi paylaşılmadı. Şirket, ele geçirilen bilgilerin niteliğini belirlemek için inceleme yürütüyor.

Bu, Quest Diagnostics’in bilinen ilk büyük veri ihlali değil. Şirket, 2019’da bir dış faturalandırma hizmeti sağlayıcısını hedef alan saldırıda 11,9 milyon hastaya ait kayıtların açığa çıkmasıyla gündeme gelmişti. Önceki olay üçüncü taraf bir şirketi etkilerken bu kez Quest’in kendi laboratuvar sistemlerinden biri olan Quanum hedef alındı.

Sağlık sektörü, hasta kayıtlarının hassas niteliği ve farklı hizmetleri birbirine bağlayan geniş sistemler nedeniyle siber saldırganların hedefinde. Bu yıl sağlık teknolojisi ve tıbbi ürün şirketlerini etkileyen başka olaylar da yaşandı. Mart ayında tıbbi teknoloji üreticisi Stryker’da çalışan cihazlarının toplu biçimde silinmesine yol açan bir saldırı gerçekleşti; ağını haftalarca çevrimdışı tutmak zorunda kalan Boston Scientific ise ağustostaki saldırının operasyonlarında küresel aksamalara neden olduğunu bildirdi. Hasta verilerini yöneten CareCloud, İskoçya merkezli Craneware ve ilaç dağıtıcısı McKesson da yıl içinde ayrı veri ihlalleriyle karşılaştı.

Quest’in soruşturması tamamlandığında etkilenen kişi sayısı ve verilerin kapsamı netleşebilir. Şimdilik şirketin doğruladığı temel nokta, Quanum sistemindeki bazı hasta kayıtlarına yetkisiz erişim sağlandığı ve kişisel bilgilerle sağlık verilerinin ele geçirildiği. Etkilenen kişilere yönelik bildirimlerin nasıl ve ne zaman yapılacağına ilişkin ayrıntılar da henüz açıklanmadı.