Oracle Health ihlali: 20 milyon hastanın kimlik ve tıp verileri siber saldırıda ele geçirildi

ABD Sağlık ve İnsan Hizmetleri Bakanlığı (HHS) Sivil Haklar Ofisi'ne (OCR) bildirilen resmi veriler ve mahkeme dosyaları son derece ciddi bir tabloyu onaylıyor: Şubat 2024'te Oracle Health'in Cerner platformu üzerindeki bir müşteri portalına yönelik siber saldırı sonucunda, toplam 19,8 milyon hastanın hassas kişisel ve tıbbi verileri ele geçirildi. Bu rakam, ABD sağlık tarihindeki en büyük veri ihlallerinden birine işaret ediyor.

Sızma nasıl gerçekleşti? Citrix zaafiyeti ve kimlik bilgileri

Araştırmacılar ve Oracle'ın kendi güvenlik bildirimlerine göre, saldırganlar Şubat 2024'te, Cerner'in "HealtheLife" hasta portalı için kullanılan bir Citrix NetScaler (ADC) gereçindeki CVE-2023-4966 (Citrix Bleed) kritik zaafiyetini sömürdü. Bu zaafiyet, oturum belirteçlerini (session tokens) sızdırarak saldırganların geçerli kullanıcı kimlik bilgileri olmadan sistemde yetkili erişim sağlamasına olanak tanıyordu. Oracle, ihlalin kendi bulut altyapısının (OCI) kendisine değil, müşterilerin barındırdığı belirli bir eski platform segmentine yönelik olduğunu belirtmiş, ancak etkilenen veri hacmi bu ayrımı çoktan aşmış durumda.

Ele geçen veriler: Kimlik hırsızlığı için 'altın standart' veri seti

HHS OCR portallarında yer alan ihlal bildirimlerine ve toplu davava eklenen delillere göre, sızdırılan veri seti finansal kimlik hırsızlığı ve tıp dolandırıcılığı için en değerli bilgileri içeriyor. Veriler şunları kapsıyor:

• Tam ad, doğum tarihi, ev adresi ve telefon numarası
• Sosyal Güvenlik Numaraları (SSN) ve/veya sürücü ehliyet numaraları
• Tıbbi kayıt numaraları, teshis kodları (ICD-10), reçete detayları ve tedavi planları
• Sorumlu hekim ve sağlık kurumu bilgileri
• Sigorta poliçe numaraları

Uzmanlar, bu veri kombinasyonunun "tam profil" (fullz) oluşturduğunu, kredi kartı bilgilerinden çok daha uzun ömürlü ve zararlı olduğunu vurguluyor.

Yasal süreç ve Oracle'ın tavrı

İhlalin fark edildikten sonra bildirim süresi ve şeffaflık eksikliği nedeniyle Oracle, birden fazla eyaletde (Kaliforniya, Texas, Missouri başta) ve federal mahkemelerde birleştirilen toplu davalara (MDL) konu oldu. Davalarda Oracle'ın, ihlalin boyutunu küçültmek için "müşteri verisi" ile "Oracle verisi" ayrımı yaparak sorumluluktan kaçındığı, ve HIPAA'nın "İş Ortakları" (Business Associates) maddesi uyarınca yükümlülüklerini ihmal ettiği iddia ediliyor. HHS OCR da resmi bir uyuşmazlık çözümü sürecine (Resolution Agreement) girip ciddi para cezası ve düzeltici eylem planı getirebileceği sinyalleri veriyor.

Etkilenen hastalar ne yapmalı?

Verilerinizin bu ihlal kapsamında olup olmadığını öğrenmek için, tedavi gördüğünüz hastane veya sağlık sisteminin (örneğin: UCHealth, Froedtert Health, Community Health Systems vb. büyük Cerner müşterileri) gönderdiği resmi ihlal bildirim mektubunu kontrol edin. Mevzuat gereği etkilenen her kurum, ücretsiz kredi izleme hizmeti (genellikle 24 ay) sunmak zorundadır. Ayrıca:

• Üç büyük kredi bürosu (Equifax, Experian, TransUnion) dosyanıza "Güvenlik Dondurması" (Security Freeze) koyun.
• Sosyal Güvenlik İdaresi (SSA) üzerinden "my Social Security" hesabı oluşturup kimlik doğrulama ayarlarınızı sıkılaştırın.
• Tıbbi faturalarınızı ve "Fayda Açıklamaları"nı (EOB) düzenli olarak denetleyin; tanımadığınız işlemler tıp kimlik hırsızlığının ilk işaretidir.

Bu ihlal, sağlık teknolojisi devlerinin eski sistem güvenliğine ve tedarik zinciri risk yönetimine ne kadar yatırım yaptığını yeniden sorgulatan bir vaka çalışması haline geldi.