Telesağlık Devi Hims, Tıbbi Kayıtları Açığa Çıkaran Veri İhlaliyle Vuruldu

Telesağlık şirketi Hims & Hers Health, bir şirketin elinde bulundurabileceği en hassas kişisel bilgi kategorilerinden bazılarını açığa çıkaran bir veri ihlalini doğruladı: Korunan Sağlık Bilgileri (PHI). İhlal, tehdit aktörlerinin şirket tarafından kullanılan üçüncü taraf bir müşteri destek platformuna yetkisiz erişim sağlamasının ardından gerçekleşti. Açığa çıkan veriler, müşteri destek biletlerindeki bilgileri kapsıyordu; bu da telesağlık bağlamında reçeteler, tıbbi danışmalar ve kişisel sağlık koşullarıyla bağlantılı ayrıntılar anlamına geliyor.

Hacker grubu ShinyHunters saldırının sorumluluğunu üstlendi. Grup, siber güvenlik çevrelerinde büyük ölçekli veri hırsızlığı operasyonlarıyla tanınıyor ve son yıllarda birçok yüksek profilli ihlalle ilişkilendirildi. Grubun dahil olması, çalınan verilerin bundan sonra ne olacağına dair acil kaygıları beraberinde getiriyor; bu kaygılar arasında şantaj, karanlık web pazarlarında yeniden satış veya etkilenen kullanıcılara yönelik hedefli kimlik avı kampanyaları yer alıyor.

Üçüncü Taraf Satıcılar Neden Sağlık Güvenliğinin Zayıf Halkasıdır?

Bu ihlaldeki en önemli ayrıntılardan biri, olayın nerede yaşandığıdır: Hims'in temel altyapısının içinde değil, üçüncü taraf bir müşteri destek platformu aracılığıyla. Bu, giderek daha yaygın hale gelen ve giderek daha ciddi sonuçlar doğuran bir örüntüdür.

Büyük şirketler, müşteri desteği, faturalandırma ve veri depolama gibi işlevleri rutin olarak özel satıcılara dış kaynak olarak aktarır. Bu satıcıların her biri, şirketin saldırı yüzeyinin bir uzantısı haline gelir. Bir kullanıcı bir telesağlık hizmetine kaydolduğunda, yalnızca o şirkete verilerini emanet etmiş olmaz. Aynı zamanda şirketin birlikte çalıştığı her satıcıya, müteahhide ve yazılım sağlayıcısına da güvenmek durumunda kalır.

Bu durum, özellikle sağlık sektöründe sorunludur. ABD hukukuna göre, Korunan Sağlık Bilgilerini işleyen şirketlerin iş ortaklarının ve satıcılarının HIPAA uyumluluk standartlarını karşıladığından emin olmaları gerekir. Ancak kâğıt üzerindeki uyumluluk, her zaman pratikte etkili bir güvenliğe dönüşmez. Hims gibi iyi kaynaklara sahip bir şirket, kendi savunmalarına büyük yatırımlar yaparken daha zayıf kontrollere sahip bir satıcı aracılığıyla açık kalabilir.

Hims ihlali, izole bir vaka değildir. Sağlık ve telesağlık şirketleri, ellerinde tuttukları verilerin bu denli değerli olması nedeniyle tam da bu yüzden birincil hedef haline geldi. Tıbbi kayıtlar, kredi kartı numaralarından çok daha yüksek fiyatlara kriminal piyasalarda alıcı buluyor; çünkü bu kayıtlar kolayca değiştirilemeyen bilgiler içeriyor ve sigorta dolandırıcılığı, kimlik hırsızlığı ile hedefli sosyal mühendislik için kullanılabiliyor.

Bu Sizin İçin Ne Anlama Geliyor?

Eğer bir Hims veya Hims & Hers müşterisiyseniz, müşteri destek kanalları aracılığıyla paylaştığınız bilgilerin açığa çıkmış olabileceğini varsaymalısınız. Bu bilgiler; adınızı, iletişim bilgilerinizi ve destek ekibiyle paylaştığınız tıbbi danışmalar ya da reçetelerle ilgili ayrıntıları kapsayabilir.

Daha genel bir bakış açısıyla ele alındığında, bu ihlal; hassas kişisel bilgilerin merkezi sistemlerde saklanmasının beraberinde getirdiği riskler konusunda önemli bir hatırlatıcı niteliği taşıyor. Telesağlık platformları kolaylık üzerine inşa edilmiştir ve bu kolaylık, çoğu zaman sağlık verilerinizin saldırganlar için cazip hedefler oluşturacak biçimlerde bir araya getirilmesi anlamına gelir. Bir şirketin ne kadar çok veri tuttuğu ve bu veriyi ne kadar çok satıcıyla paylaştığı, bir şeyler ters gittiğinde potansiyel hasar yarıçapını o ölçüde genişletir.

Bu, telesağlık hizmetlerinden kaçınmanız gerektiği anlamına gelmiyor. Pek çok insan için bu hizmetler, aksi takdirde ulaşılması güç ya da maliyetli olabilecek bakım hizmetlerine erişim imkânı sunuyor. Ancak bu durum, herhangi bir dijital sağlık platformunda hangi bilgileri paylaştığınız konusunda dikkatli düşünmeniz gerektiği anlamına geliyor; şirketin birincil sistemleri dışında saklanıp işlenebilecek destek biletleri ve sohbet işlevleri de dahil olmak üzere.

Sağlık Verisi İhlalinin Ardından Atılacak Somut Adımlar

Hims & Hers veya benzer bir telesağlık platformu kullanıyorsanız, şu anda atmaya değer bazı somut adımlar şunlardır:

  • Kimlik avı girişimlerine karşı dikkatli olun. Sağlıkla ilgili veriler elde eden saldırganlar, bu verileri genellikle son derece ikna edici kimlik avı mesajları oluşturmak için kullanır. Sağlık durumlarınıza, ilaçlarınıza veya platformla önceki etkileşimlerinize atıfta bulunan istenmeyen e-posta veya mesajlara karşı şüpheyle yaklaşın.
  • Hesaplarınızı kontrol edin. Hims hesabınızı ve bağlantılı ödeme yöntemlerini olağandışı hareketler açısından inceleyin. Şüpheli bir durum fark ederseniz hem platforma hem de finansal kuruluşunuza bildirin.
  • Kimlik dolandırıcılığına karşı tetikte olun. Birinin bilgilerinizi kullanarak sahte yollarla reçete veya sigorta avantajları elde ettiği tıbbi kimlik hırsızlığı, tespit edilmesi güç olabilir. Büyük kredi bürolarına bir dolandırıcılık uyarısı yerleştirmeyi ve almadığınız hizmetler için sigorta ekstrelerinizi takip etmeyi düşünün.
  • Destek biletlerinde paylaştığınız bilgileri sınırlandırın. Bundan böyle, herhangi bir şirketteki müşteri destek kanallarının kendine özgü güvenlik yapısına sahip üçüncü taraf satıcılar tarafından yönetilebileceğini göz önünde bulundurun. Kesinlikle gerekli olandan fazla ayrıntı paylaşmaktan kaçının.
  • İhlal hakkında bilgi sahibi olmaya devam edin. Hims'in olayın kapsamı ve sunabilecekleri iyileştirme adımları, örneğin kredi izleme hizmetleri gibi konulardaki resmi iletişimleri takip edin.

Sağlık şirketlerindeki veri ihlalleri ortadan kalkmıyor. Daha fazla sağlık hizmeti çevrimiçi ortama taşındıkça, dijital platformların elinde tuttuğu hassas tıbbi veri miktarı yalnızca artacak. Bu hizmetlerin dikkatli ve bilinçli bir kullanıcısı olmak, sıradan insanlar için mevcut en etkili savunma yöntemlerinden biridir. Verilerinizi kimin tuttuğunu ve bu verilerle ne yaptığını anlamak, kendinizi korumanın makul bir başlangıç noktasıdır.