Novo Nordisk, İddia Edilen 1 TB'lık Veri İhlali Nedeniyle Yetkililerle Temasa Geçti
İlaç devi Novo Nordisk, bir hacker grubunun bir terabayttan fazla şirket verisini çaldığını ve yayınladığını iddia etmesinin ardından ilgili yetkililerle temas halinde olduğunu doğruladı. Diyabet ve kilo verme ilaçlarıyla tanınan ilaç üreticisi, bildirilen olayı araştırırken sistemlerini izlediğini ve normal operasyonlarını sürdürdüğünü belirtiyor.
Bu durum, sağlık ve ilaç şirketlerinin hassas verileri nasıl ele aldığına ve güvendikleri kuruluşlar hedef haline geldiğinde hastaların ve çalışanların neler yapabileceğine dair acil soruları gündeme getiriyor.
Novo Nordisk'in Şimdiye Kadar Söyledikleri
Novo Nordisk'in yanıtı ölçülü oldu. Şirket, iddialardan haberdar olduğunu doğruladı ve müdahalesinin bir parçası olarak yetkililerle birlikte çalıştığını belirtti. Bir hacker grubunun iddiaya göre veri yayınladığını kabul etmenin ötesinde, Novo Nordisk tam olarak hangi bilgilerin etkilendiği veya ihlalin nasıl gerçekleşmiş olabileceği konusunda ayrıntılı bir doğrulama sağlamadı.
Bu tür dikkatli ve sınırlı bilgilendirme, kurumsal bir siber olayın erken aşamalarında yaygındır. Şirketler birbiriyle çelişen baskılarla karşı karşıyadır: etkilenen tarafları bilgilendirme yönündeki yasal yükümlülük, kesin açıklamalar yapmadan önce araştırma yapma operasyonel ihtiyacı ve ciddi bir olayı ya gereğinden fazla iletmenin ya da olduğundan az göstermenin itibari riski. Sonuç genellikle, potansiyel olarak etkilenen bireyleri net cevaplardan yoksun bırakan bir bekleme dönemidir.
Ayrı olarak bildirildiği üzere, bu olay, saldırganların veri çaldığı ve talepler karşılanmadığı takdirde bunları yayınlamakla tehdit ettiği bir siber gasp kampanyasıyla tutarlı özellikler taşımaktadır. Bu model, sektörler genelinde giderek daha yaygın hale gelmiştir, ancak ilgili verilerin klinik kayıtları, hasta kimlik bilgilerini ve özel araştırmaları içerebildiği sağlık ve ilaç sektörlerinde özel bir ağırlık taşımaktadır.
Bu ihlali çevreleyen iddialar hakkında daha geniş bağlam için, iddiaya göre dahil olan veri türleri hakkında bildirilen ayrıntılar da dahil olmak üzere, Novo Nordisk 1.3 TB'lık İhlalle Vuruldu: Klinik Deney Verileri Çalındı ek arka plan bilgisi sağlamaktadır.
İlaç Sektöründeki Veri İhlalleri Neden Özellikle Ciddidir
Çoğu insan veri ihlallerini finansal bilgiler, parolalar veya sosyal medya hesaplarıyla ilişkilendirir. Büyük bir ilaç şirketini içeren bir ihlal, farklı ve potansiyel olarak daha kalıcı sonuçlar taşır.
İlaç şirketleri bir dizi hassas kategoriyi elinde bulundurur: klinik deney katılımcı kayıtları, sağlık geçmişleri, çalışan kişisel verileri, özel ilaç geliştirme araştırmaları ve bazı durumlarda şirketle etkileşimde bulunan sağlık profesyonelleri hakkında bilgiler. İptal edilip yenisiyle değiştirilebilen çalıntı bir kredi kartı numarasının aksine, sağlık bilgileri kalıcıdır. Sigorta dolandırıcılığı, kimlik hırsızlığı veya bir kişinin tıbbi geçmişine dair bilgiyi istismar eden hedefli kimlik avı saldırıları için kullanılabilir.
Sağlık sektörü, tam da bu hassasiyet nedeniyle gasp grupları için giderek daha fazla birincil hedef haline gelmiştir. Bahisler o kadar yüksektir ki kuruluşlar talepleri ödeme baskısı hissedebilir ve birçok yargı bölgesindeki düzenleyiciler sağlık verisi ihlallerini özel bir ciddiyetle ele alır. Benzer bir dinamik, hasta sağlık bilgilerinin şirketin doğrudan altyapısı dışındaki sistemler aracılığıyla ifşa olduğu üçüncü taraf bulut uygulamalarını içeren iRhythm ihlalinde yaşanmıştı.
Bu Sizin İçin Ne Anlama Geliyor
Novo Nordisk klinik deneylerine katılmış bir hasta iseniz, ilaçlarını kullandıysanız veya sağlık hizmeti sağlayıcınız şirketle etkileşimde bulunduysa, resmi bildirimler gelmeden önce bile verilerinizin iddia edilen hırsızlığa dahil olma olasılığını ciddiye almaya değer.
İşte hemen şimdi yapabilecekleriniz:
Kimlik avına karşı tetikte olun. Çalıntı verileri yayınlayan gasp grupları bunları genellikle diğer suç aktörlerine satar veya dağıtır. Sağlık durumlarınıza, ilaçlarınıza veya kişisel bilgilerinize atıfta bulunan e-postalarda veya mesajlarda bir artış görebilirsiniz. Sağlığınızla ilgili herhangi bir talep edilmemiş iletişime yüksek şüpheyle yaklaşın.
Sağlık sigortası ekstrelerinizi inceleyin. Çalıntı sağlık verilerini kullanan dolandırıcılık amaçlı talepler, bir ihlalden aylar sonra ortaya çıkabilir. Almadığınız hizmetleri veya ziyaret etmediğiniz sağlayıcıları arayın.
Resmi bildirimleri kontrol edin. Yaşadığınız yere bağlı olarak, Novo Nordisk, verileri etkilenen bireyleri bilgilendirmekle yasal olarak yükümlü olabilir. GDPR kapsamında AB'deki ve HIPAA kapsamında (geçerli olduğu durumlarda) ABD'deki düzenleyici kurumlar bildirim zaman çizelgeleri belirler. Şirketten veya ilgili sağlık otoritelerinden gelecek herhangi bir resmi iletişimi takip edin.
Güçlü, benzersiz kimlik bilgileri kullanın. Novo Nordisk veya ilgili bir sağlık portalında herhangi bir hesabınız varsa, parolanızı hemen değiştirin ve çok faktörlü kimlik doğrulamayı etkinleştirin.
Bir gizlilik denetimi yapmayı düşünün. Bu olay, ister ilaç şirketi ister başka bir kuruluş olsun, herhangi bir kuruluşla hangi verileri paylaştığınızı gözden geçirmek ve mümkün olan yerlerde gereksiz veri paylaşımını en aza indirmek için faydalı bir uyarıcıdır.
İzlenmeye Değer Daha Geniş Model
Novo Nordisk bir istisna değil. Büyük ilaç ve sağlık şirketleri, son yıllarda artan bir siber gasp ve veri hırsızlığı girişimleri dalgasıyla karşı karşıya kaldı. Bu kuruluşlar, genellikle tekdüze bir şekilde güvence altına alınması zor olabilen karmaşık küresel tedarik zincirleri, iş ortağı ağları ve eski BT sistemleri genelinde muazzam hacimlerde hassas bilgi tutmaktadır.
Bu olayı dikkate değer kılan şey, iddia edilen hırsızlığın ölçeği ve Novo Nordisk'in küresel operasyonları göz önüne alındığında, muhtemelen birden fazla yargı bölgesindeki yetkililerin olaya dahil olmasıdır. Bu soruşturmanın sonucu, muhtemelen benzer şirketlerin kendi veri güvenliği duruşlarına nasıl yaklaşacaklarını şekillendirecektir.
Bireyler için temel çıkarım, gizlilik korumasının tamamen verilerinizi elinde bulunduran kuruluşlara devredilemeyeceğidir. İster teknoloji alanında çalışın ister sadece tıbbi bakım alın, veri minimizasyonu, kimlik bilgisi hijyeni ve sosyal mühendisliğe karşı tetikte olma konusunda kişisel alışkanlıklar geliştirmek giderek daha da önemli hale gelmektedir. Bu durum gelişmeye devam ederken, Novo Nordisk ve ilgili düzenleyici kurumlardan gelecek resmi güncellemeler için tetikte olun.
