Birleşik Krallık merkezli sağlık faturalandırma yazılımı geliştiricisi Craneware, sistemlerine yönelik büyük ölçekli bir siber saldırı gerçekleştiğini duyurdu. Şirket tarafından Londra Menkul Kıymetler Borsası'na sunulan açıklamada, saldırganların sistemlerden önemli miktarda müşteri verisi çaldığı belirtildi.

Milyonlarca Hasta Kaydı Risk Altında

Craneware'in sunduğu muhasebe ve faturalandırma çözümleri, Amerika Birleşik Devletleri genelinde binlerce hastane, klinik ve eczane tarafından yaygın olarak kullanılıyor. Şirket, sızıntının boyutuna dair kesin detaylar vermese de çalışan verileri, müşteri bilgileri ve ortak kayıtlarının bir kısmının dışarı sızdırıldığını doğruladı.

Şirketin 2021 yılında Florida merkezli Sentry firmasını satın almasıyla birlikte, yirmi yıllık süreçte toplanmış 147 milyon hasta kaydına erişim sağladığı biliniyor. Bu durum, sızıntının potansiyel etkilerinin ne kadar geniş olabileceğini gösteriyor.

Sağlık Sektöründeki Tedarikçi Zinciri Saldırıları

Sektördeki benzer saldırılar incelendiğinde, sağlık kuruluşlarına hizmet sağlayan teknoloji firmalarının hedef haline geldiği görülüyor. Mart ayında TriZetto 3.4 milyon, geçtiğimiz Temmuz ayında ise Episource 5.4 milyon kişinin verilerinin çalındığını bildirmişti. En büyük sızıntı ise 2024 yılında Change Healthcare'in uğradığı saldırıyla gerçekleşmiş ve 192 milyon kişinin kayıtları etkilenmişti.

Ne anlama geliyor?

Bu olay, tedarik zinciri saldırısı olarak adlandırılan bir yöntemle gerçekleşmektedir. Bu yöntemde, birçok kurumun aynı anda kullandığı merkezi bir yazılım sağlayıcısı hedef alınarak, tek bir noktadan binlerce farklı müşterinin verilerine erişim sağlanır. Yazılım üzerinden yürütülen faturalandırma ve kayıt tutma işlemleri, hassas verilerin tek bir merkezde toplanmasına neden olduğu için bu noktalar siber saldırganlar için yüksek değerli hedefler haline gelir.

Sızdırılan veriler, genellikle şantaj amaçlı kullanılır veya yasa dışı platformlarda satılır. Sağlık verilerinin çalınması, kişisel bilgilerin ötesinde tıbbi geçmişin ifşa olması anlamına geldiği için geri döndürülemez zararlar oluşturabilir. Bu durum, hizmet alınan üçüncü taraf yazılımların güvenlik standartlarının ve veri şifreleme yöntemlerinin kritik önemini ortaya koymaktadır.