Quest Diagnostics, Quanum laboratuvar test platformunda hasta verisi ihlalini doğruladı

ABD'nin en büyük tıbbi laboratuvar işletmecilerinden Quest Diagnostics, sistemlerinden birine yönelik siber saldırının hassas hasta sağlık verilerini tehlikeye attığını doğruladı. Açıklamayı, şirketin düzenleyici kuruma yaptığı başvuruyu inceleyen TechCrunch haberleştirdi.

Quest'in açıkladıkları

TechCrunch'a göre Quest, olayı ABD Menkul Kıymetler ve Borsa Komisyonu'na yaptığı 8-K başvurusunda bildirdi. Şirket, saldırıdan Çarşamba günü haberdar olduğunu ve saldırının, doktor ofisleri, hastaneler ve sağlık kuruluşlarının laboratuvar testleri sipariş vermek ve faturalandırmayı yönetmek için kullandığı Quanum platformunu hedef aldığını söyledi. Sistem, tanı ve faturalandırma verilerinin yanı sıra çok sayıda hasta tıbbi kaydını barındırıyor.

Quest, düzenleyicilere saldırganın "bazı hasta kayıtlarına" eriştiğini bildirdi. Şirket, kolluk kuvvetlerine haber verdiğini ve soruşturmanın sürdüğünü söylüyor. Saldırının ne zaman başladığını, kaç hasta ya da sağlık müşterisinin etkilendiğini ya da herhangi bir grubun fidye talebiyle iletişime geçip geçmediğini ise açıklamadı. TechCrunch, Quest sözcüsünün Cuma günü yorum talebine yanıt vermediğini bildirdi.

İhlalin kapsamı ne kadar büyük olabilir

Quest ihlale ilişkin bir sayı vermedi, ancak platformun erişim alanı potansiyel kapsamın önemli olduğuna işaret ediyor. TechCrunch'ın aktardığı, Quest'in kendi web sitesindeki bilgilere göre Quanum, Kuzey Amerika genelinde binlerce lokasyonda yaklaşık yarım milyon klinisyen tarafından kullanılıyor. Platformun toplamda kaç sağlık kaydı barındırdığı bilinmıyor; ancak Quest'in yayımladığı 2026 tarihli bir vaka çalışması, tek bir sağlık sisteminin altı milyondan fazla hastası ve bunlara ilişkin yüz milyonlarca tıbbi belge ve kayıt bulunduğunu anlatıyor.

Quest, web sitesindeki bir duyuruda bazı hastaların korunan sağlık bilgilerinin, kişisel bilgiler ve hasta kayıtları dahil, ele geçirildiğini, ancak hangi tür verilerin etkilendiğinin tam olarak hâlâ araştırıldığını söyledi. TechCrunch ayrıca duyuru sayfasının, arama motorlarının sayfayı listelemesini engelleyen "noindex" kodu taşıdığını ve bunun açıklamayı etkilenen kişilerin bulmasını zorlaştırdığını gözlemledi.

Sağlık sektörüne yönelik saldırı yılı

Olay daha geniş bir örüntüye uyuyor. TechCrunch, bunun bu yıl sağlık sektörünü vuran yalnızca en son büyük siber olay olduğuna dikkat çekiyor; önceki saldırılar haftalarca süren aksamalara ve milyonlarca hasta kaydının çalınmasına yol açtı.

Mart ayında bir siber saldırı, medikal teknoloji üreticisi Stryker'da çalışan cihazlarını toplu halde silmek istedi. Ağustos ayında implant üreticisi Boston Scientific'teki bir saldırı, şirketin "küresel aksama" olarak nitelendirdiği olayla ağ haftalarca çevrimdışı kaldı. Yıl içindeki ayrı ihlaller, tıbbi kayıt şirketi CareCloud, İskoçya merkezli sağlık teknolojisi sağlayıcısı Craneware ve ilaç dağıtım devi McKesson'da hasta verilerini açığa çıkardı. Mali motivasyonlu suç örgütleri, sağlık teknolojisi şirketlerini ana hedef haline getirdi; hassas verileri çalıyor ve fidye ödenmezse yayımlamakla tehdit ediyor.

Quest'in on yıldaki ikinci büyük ihlali

Bu Quest'in ilk büyük ölçekli olayı değil. TechCrunch'a göre şirket, 2019'da üçüncü taraf bir faturalandırma şirketine yapılan siber saldırıda 11,9 milyon hasta kaybetti; bu da Quanum olayını son on yıldaki bilinen ikinci büyük ihlali yapıyor.

Neden önemli

Laboratuvar testi verileri kişisel bilgilerin en mahrem ucunda yer alır: sonuçlar gebeliklere, enfeksiyonlara, kanser taramalarına ve kronik hastalıklara işaret edebilir ve bir şifrenin aksine bu bilgiler sızdıktan sonra değiştirilemez. Quanum yüz binlerce klinisyenin kullandığı paylaşılan bir altyapı olduğundan, Quest'teki tek bir ihlal binlerce bakım sağlayıcısına ve hastalarına aynı anda yayılabilir; bu da birleşik sağlık platformlarının nasıl büyük tek hata noktaları oluşturduğunu gösteriyor. Olay ayrıca şeffaflık sorularını da gündeme getiriyor: İhlal yasal zorunluluk gereği düzenleyicilere bildirildi, ancak hastalara yönelik duyuru arama sonuçlarında görünmeyecek şekilde yayımlandı ve etkilenen kişilere hangi kayıtlarının alındığına dair somut az bilgi bıraktı. fidye yazılımları ve veri hırsızlığıyla bir yıldır sarsılan sağlık sektörü için Quest olayı, en hassas kayıtları elinde bulunduran kuruluşların hâlâ en çekici hedefler arasında olduğunu hatırlatıyor.