ZoriaNews

Ne oldu?

Dijital sağlık teknolojisi şirketi iRhythm Holdings, ABD Menkul Kıymetler ve Borsa Komisyonu'na (SEC) 8 Haziran 2026'da fark ettiği bir siber olayı raporladı. Şirkete göre saldırganlar, üçüncü taraf bulut sağlayıcılarında barınan iş uygulamalarına izinsiz erişim sağladı. Ertesi gün, 9 Haziran'da, bir tehdit aktörü iRhythm'a ulaşarak ele geçirdiğini iddia ettiği verileri kamuoyuna sızdırmamak karşılığında fidye talep etti. iRhythm, bu iletişimin ardından uygulamalardan belirli verilerin dışarı çıkarıldığını doğruladı ve 10 Haziran'da potansiyel etki alanının büyüklüğü nedeniyle olayı "kayda değer" olarak değerlendirdi. Şirket, saldırganların sosyal mühendislik yöntemiyle sistemlere girdiğini, ancak olayın hangi grubun veya hangi üçüncü taraf uygulamaların sorumlu olduğu henüz doğrulanmadığını belirtti.

Neden önemli?

Bu olay, sağlık sektörünün karşı karşıya olduğu veri güvenliği risklerini bir kez daha gündeme getiriyor. iRhythm'ın Zio gibi cilt üzerine yerleştirilen kalp ritmi monitörleri ve bunlardan toplanan biyometrik veriler, hasta mahremiyeti açısından son derece hassas kabul edilir. Şirket, bugüne kadar 12 milyondan fazla hastadan 2 milyar saatin üzerinde işlenmiş kalp atışı verisi analiz ettiğini açıklıyor; kaydedilen bu toplam, servisin geniş kullanım alanını gösterse de kaç kişinin bu ihlalden doğrudan etkilendiği henüz bilinmiyor. Çalınan veriler arasında "hasta korumalı sağlık bilgisi" ve kişisel bilgilerin olduğu ifade ediliyor. Bu tür bilgiler, sahtekarlık, kimlik hırsızlığı ve hedefli sosyal mühendirme saldırıları için kullanılabileceğinden, etkilenen bireyler yıllar boyunca risk altında kalabilir. Ayrıca sağlık kuruluşlarının çoğunlukla üçüncü taraf SaaS ve bulut ortamlarına bağımlı olması, tedarik zinciri güvenliğinin ne kadar kritik olduğunu gösteriyor; saldırganlar doğrudan hastane ağlarına girmese bile iş ortağı uygulamaları üzerinden çok sayıda kayda değer veriye ulaşabiliyor.

Kim veya ne etkileniyor?

Doğrudan etkilenen kesim, iRhythm hizmetlerini kullanmış ve söz konusu üçüncü taraf iş uygulamalarında bilgileri bulunan hastalar. Şirket, bu uygulamalarda bireysel finansal hesap ve ödeme kartı bilgisi saklanmadığını, bu yüzden banka/kredi kartı verisi sızıntısı riskinin bulunmadığını vurguladı. Bununla birlikte hasta kimlik bilgileri, sağlık verileri ve şirkete ait özel verilerin sızdırılmış olabileceği belirtiliyor. iRhythm, ürünleri, klinik ve tıbbi cihaz sistemleri, hasta güvenliği operasyonları, imalat ve dağıtım süreçleri ile finansal raporlama sistemlerinin etkilenmediğini açıkladı. Dolayısıyla cihazların çalışması veya aktif hasta izleme hizmetinin kesintiye uğradığına dair bir kanıt yok. Etkilenen birey sayısı ve veri türlerinin tam kapsamı ise hâlâ araştırılıyor.

Ne yapılmalı?

iRhythm, olayın kapsamını belirlemek üzere dış siber güvenlik danışmanları ve uzmanlarla birlikte soruşturma yürütüyor ve etkilenen kişilere bildirimde bulunacağını ifade etti. Kullanıcıların ve sağlık kuruluşlarının şimdilik alabileceği en somun adımlar: iRhythm'dan veya destek sağlayıcılarından gelen resmi bildirimleri takip etmek, kimlik avı e-postaları veya SMS'lere karşı dikkatli olmak, mevcut hesaplarda çok faktörlü kimlik doğrulama (MFA) kullanmak ve kredi raporları ile sağlık sigortası kayıtlarında olağan dışı aktivite olup olmadığını düzenli kontrol etmek. Şirketler açısından ise bu olay, üçüncü taraf SaaS uygulamalarında erişim denetimlerinin, ayrıcalık yönetiminin ve çalışanlara yönelik sosyal mühendirlik farkındalık eğitimlerinin yeniden gözden geçirilmesi gerektiğini hatırlatıyor. Sağlık verisi işleyen kuruluşlar için asgari ayrıcalık ilkesi, uygulama başına kimlik doğrulama ve tedarikçi güvenlik değerlendirmeleri artık sadece teknik tercih değil, hasta güveni açısından zorunluluk haline geliyor.