KFN Haberleri: Tarihin En Büyüğü! 192.7 Milyon Kişinin Verisi Çalındı! Sağlık Devi Çöktü!
Amerika Birleşik Devletleri, 2024'ün Şubat ayında başlayan ancak etkileri ve devasa boyutu 2025 yılı boyunca anlaşılan, tarihin en büyük sağlık sistemi siber saldırısıyla sarsıldı. Hedef, ABD'deki her 3 hasta kaydından 1'ine dokunan ve tüm sağlık sisteminin (hastaneler, doktorlar, eczaneler) "finansal atardamarı" olan Change Healthcare idi. UnitedHealth Group'un (UHG) alt kuruluşu olan deve yönelik bu saldırı, sistemi haftalarca felç etti, hastaların ilaç almasını engelledi ve 192.7 milyon insanın en mahrem verilerini hırsızların eline bıraktı.Saldırıyı gerçekleştiren "BlackCat" (ALPHV) adlı Rus bağlantılı fidye yazılımı çetesi, 6 Terabayt (TB) boyutunda devasa bir veri paketi çaldı. Olay, sadece bir veri hırsızlığı değil, aynı zamanda ulusal bir güvenlik krizi olarak kayıtlara geçti. 2025'te açıklanan son rakamlar, bu felaketin boyutunu net bir şekilde ortaya koydu: 192.7 milyon mağdur. Peki, bu devasa soygun nasıl gerçekleşti ve sonuçları ne oldu?
Skandalın Anatomisi: "MFA Olmayan" Tek Bir Sunucu
Bu devasa felaketin başlangıcı, utanç verici derecede basit bir güvenlik açığıydı. 21 Şubat 2024'te, BlackCat/ALPHV çetesi, Change Healthcare'in Citrix uzak erişim portalındaki tek bir sunucuyu hedef aldı. Bu sunucuda? Çok Faktörlü Kimlik Doğrulama (MFA) koruması yoktu.Hackerlar, (muhtemelen karanlık ağdan satın aldıkları) çalıntı bir yönetici hesabının kimlik bilgileriyle bu sunucuya sızdı. İçeri girdikten sonra yanal olarak hareket ederek sistemin en kritik yerlerine ulaştılar ve 8 gün boyunca fark edilmeden tam 6 TB veri çaldılar. Veri hırsızlığı bittikten sonra da tüm sistemi şifreleyerek fidye talebinde bulundular.
Çalınan Veriler: Bir Ulusun Sağlık Röntgeni
Bu, basit bir "isim ve e-posta" sızıntısı değildi. 6 TB'lık pakette, ABD nüfusunun yarısından fazlasına ait olabilecek veriler vardı:- Tam İsimler, Adresler, Doğum Tarihleri, Sosyal Güvenlik Numaraları (SSN)
- Tıbbi Kayıt Numaraları ve Teşhisler (Kanser, HIV, Akıl Sağlığı vb.)
- Reçeteler, Alınan Tedaviler ve Test Sonuçları
- Faturalama Bilgileri, Banka Hesap Detayları ve Ödeme Kayıtları
- Sigorta Bilgileri (Poliçe numaraları dahil)
- Hatta aktif görevdeki ABD askeri personelinin verileri.
Sistem Felç Oldu: Hastaneler Nakit Akışını Kaybetti
Change Healthcare'in sistemleri ABD'deki tüm sağlık ödemelerinin %50'sini işliyordu. Saldırı sonrası sistemler kapatılınca, ülke çapında bir kaos yaşandı:- Eczaneler Kilitlendi: Hastalar, eczanelere gittiklerinde sigorta provizyonu alınamadığı için hayati ilaçlarını (kanser ilaçları, diyabet ilaçları) alamadılar veya ceplerinden ödemek zorunda kaldılar.
- Hastaneler ve Doktorlar Ödeme Alamadı: Hastaneler ve küçük muayenehaneler, sigorta şirketlerine fatura kesemedi ve milyarlarca dolarlık bir nakit akışı krizi yaşadılar. Birçok küçük klinik iflasın eşiğine geldi.
- Maaşlar Ödenemedi: Nakit akışını kaybeden bazı sağlık kuruluşları, doktorların ve hemşirelerin maaşlarını ödemekte zorlandı.
Kaos İçinde Kaos: 22 Milyon Dolarlık Fidye ve İkinci Tehdit
Sistemi açmak için çaresiz kalan UnitedHealth Group, raporlara göre BlackCat çetesine 22 Milyon Dolar değerinde Bitcoin fidyeyi ödedi. Ancak kaos bununla bitmedi.İddiaya göre BlackCat, bu devasa fidyeyi aldıktan sonra, saldırıyı gerçekleştiren "bağlı ortağına" (affiliate) payını vermeden ortadan kayboldu (exit scam). Verilerin bir kopyasını elinde tutan bu öfkeli "ortak" hacker, bu kez "RansomHub" adlı yeni bir çeteyle anlaştı ve Change Healthcare'i "ikinci kez" fidye ödemezlerse verileri yayınlamakla tehdit etti. (UHG'nin ikinci bir ödeme yapmadığı bildirildi).
2025 Güncellemesi: Rakam 192.7 Milyona Yükseldi
Saldırının gerçek boyutu, aylar süren analizlerin ardından 2025'te netleşti. UHG CEO'su Andrew Witty, ABD Senatosu'nda ifade vermek zorunda kaldı ve "ABD nüfusunun üçte birinin" etkilendiğini itiraf etti.2025'in Ocak ayında etkilenen kişi sayısı önce 100 milyondan 190 milyona, Temmuz 2025'te ise 192.7 milyona revize edildi. Bu, ABD Sağlık Bakanlığı (HHS) portalına bugüne kadar bildirilen "en büyük sağlık veri ihlali" olarak resmen kayıtlara geçti. Şirket, bu fiyaskonun maliyetinin 2024 sonu itibarıyla 2.45 milyar doları aşmasını beklediğini açıkladı.
Bu skandal, modern sağlık sistemlerinin ne kadar kırılgan olduğunu ve tek bir sunucudaki basit bir güvenlik açığının (MFA eksikliği) nasıl 192 milyon insanı etkileyen ulusal bir felakete dönüşebileceğini acı bir şekilde gösterdi.
Sizce böylesine kritik bir sistemin tek bir şirketin elinde toplanması bir güvenlik riski midir? Şirketlerin, milyonlarca insanın en mahrem sağlık verilerini korumak için daha fazlasını yapması gerekmez mi? Bu tür devasa bir ihmalin sorumluluğu kimde olmalı? Yorumlarınızı bekliyoruz!
