iRhythm Veri İhlalini Açıkladı Hasta Bilgileri Çalındı
Dijital sağlık şirketi iRhythm, üçüncü taraf uygulamalarda tutulan hasta verilerinin siber saldırganlar tarafından çalındığını duyurdu. İhlalden yaklaşık 150 bin kişinin etkilendiği belirtiliyor.
Ne Oldu
Kalp ritmi takibi teknolojileriyle tanınan dijital sağlık hizmetleri şirketi iRhythm, ciddi bir veri ihlalini kamuoyuna duyurdu. Şirket tarafından Maine Başsavcılığı'na yapılan resmi bildirime göre, siber saldırganlar yaklaşık 148,819 hastanın hassas kişisel ve tıbbi bilgilerini ele geçirdi. Bu gelişme, özellikle sağlık verilerinin ne kadar değerli ve hedefte olduğunu bir kez daha gösteriyor.
iRhythm, giyilebilir sensörler ve bulut tabanlı veri analizi yoluyla hastaların kalp ritimlerini izleyen Zio hizmetiyle biliniyor. Şirketin bu denli kritik sağlık verilerini işlemesi, yaşanan ihlalin ciddiyetini daha da artırıyor. Olay, şirketin iş süreçleri için kullandığı ve üçüncü bir tarafça barındırılan iş uygulamalarına yetkisiz bir erişim sağlanması sonucu meydana geldi. Bu durum, siber güvenlikte tedarik zinciri zafiyetlerinin ne kadar büyük bir risk oluşturduğunun da altını çiziyor. Şirketin kendi altyapısı doğrudan hedeflenmemiş olsa bile, iş ortaklarının veya hizmet sağlayıcılarının sistemlerindeki bir güvenlik açığı, domino etkisi yaratarak binlerce hastanın verisinin sızmasına neden olabiliyor.
Şirketin açıklamasına göre, veri ihlali aslında geçtiğimiz yılın sonlarına doğru gerçekleşti. Ancak olayın tespiti, soruşturulması ve etkilerinin tam olarak anlaşılması aylar sürdü. Bu tür kapsamlı soruşturmalar, dijital adli bilişim uzmanlarının sisteme nasıl girildiğini, hangi verilere erişildiğini ve saldırganların sistemde ne kadar süre aktif kaldığını belirlemesini içerir. Sürecin uzunluğu, genellikle saldırının karmaşıklığına ve geride bırakılan dijital izlerin ne kadar dağınık olduğuna bağlıdır. iRhythm, soruşturmanın tamamlanmasının ardından etkilenen kişileri bilgilendirme sürecini başlattığını belirtti. Ancak bu tür bir gecikme, çalınan verilerin kötüye kullanılması için saldırganlara önemli bir zaman penceresi tanıyor.
E-postanız sızdırıldı mı? Ücretsiz sorgulayın, saniyeler içinde öğrenin.
Hemen Sorgula →Ele Gecirilen Veriler
Saldırganların eline geçen verilerin listesi, durumun ne kadar vahim olduğunu gözler önüne seriyor. Bu sadece bir isim ve e-posta listesi sızıntısı değil; kimlik hırsızlığı, dolandırıcılık ve hatta şantaj için kullanılabilecek son derece hassas bilgiler içeriyor. Şirketin bildirimine göre çalınan veri türleri şunları içeriyor:
- Kişisel Tanımlayıcı Bilgiler (PII): Hastaların tam adları, doğum tarihleri ve en önemlisi Sosyal Güvenlik Numaraları (SSN). Bu üç bilginin bir arada olması, bir kişinin adına yeni kredi kartları açmak, banka hesabı oluşturmak veya sahte vergi beyannameleri doldurmak gibi kimlik hırsızlığı eylemleri için yeterlidir. SSN, ABD'de neredeyse tüm resmi işlemlerde kullanılan birincil kimlik doğrulama aracı olduğu için sızdırılması en tehlikeli veri türlerinden biridir.
- Finansal Bilgiler: Bildirimde “finansal hesap bilgileri” ifadesi geçiyor. Bu, banka hesap numaraları, kredi kartı bilgileri veya ödeme geçmişi gibi verileri içerebilir. Bu bilgiler, doğrudan finansal dolandırıcılık için kullanılabilir ve mağdurların hesaplarının boşaltılması riskini taşır.
- Korunan Sağlık Bilgileri (PHI): Bu kategori belki de en endişe verici olanı. Çalınan veriler arasında hastaların tıbbi teşhisleri, gördükleri tedaviler ve sağlık sigortası bilgileri yer alıyor. Bu tür bilgiler, son derece mahremdir ve kötü niyetli kişiler tarafından çeşitli şekillerde kullanılabilir. Örneğin, bir hastanın belirli bir teşhis bilgisi kullanılarak, "Tedavinizle ilgili bir sorun var, acil ödeme yapmanız gerekiyor" gibi oldukça inandırıcı oltalama (phishing) saldırıları düzenlenebilir. Ayrıca, bu tür hassas bilgiler, kişilere şantaj yapmak için de bir araç olarak kullanılabilir.
Bu verilerin bir araya gelmesi, siber suçlular için adeta bir hazine niteliğindedir. Kimlik, finansal ve sağlık bilgilerinin tek bir pakette toplanması, hem anında gerçekleştirilebilecek dolandırıcılıklara hem de uzun vadeli kimlik hırsızlığına zemin hazırlar. Saldırganlar bu veri setlerini karanlık ağ (dark web) üzerindeki pazarlarda satabilir veya kendileri kullanarak daha karmaşık dolandırıcılık operasyonları yürütebilir.
Saldiri Nasil Gerceklesti
iRhythm'in açıklamalarına göre saldırı, şirketin doğrudan kendi sistemlerine değil, hizmet aldığı üçüncü taraf bir sağlayıcının barındırdığı iş uygulamalarına yönelikti. Saldırganlar, bu harici platforma yetkisiz bir şekilde erişim sağladı. Şirket, saldırının teknik ayrıntıları, kullanılan zafiyetin ne olduğu veya saldırganların kimliği hakkında henüz bir bilgi paylaşmadı. Bu tür durumlarda, genellikle devam eden bir kolluk kuvvetleri soruşturması olduğu için şirketler teknik detayları gizli tutmayı tercih ederler.
Paylaşılan zaman çizelgesine göre, yetkisiz erişim 1 Eylül 2025 ile 24 Ekim 2025 tarihleri arasında gerçekleşti. Şirket, şüpheli aktiviteyi 24 Ekim 2025'te fark ettiğini ve derhal bir soruşturma başlattığını belirtiyor. Bu soruşturma sürecinde, olayın boyutunu ve etkilerini anlamak için alanında uzman üçüncü taraf siber güvenlik firmalarından destek alındı. Soruşturma, 1 Mayıs 2026'da tamamlandı ve hangi hasta verilerinin sızdırıldığı kesin olarak bu tarihte netleşti.
Bu zaman çizelgesi, saldırının tespiti ile etkilenen kişilerin bilgilendirilmesi arasında neden yaklaşık sekiz aylık bir süre geçtiğini de açıklıyor. Adli bilişim analizleri, log kayıtlarının incelenmesi ve sızdırılan verilerin kapsamının belirlenmesi oldukça zaman alıcı süreçlerdir. Ancak bu uzun bekleme süresi, mağdurların risk altında olduklarından habersiz geçirdikleri anlamına gelir.
Etkilenenler Kim
Veri ihlalinden doğrudan etkilenenler, iRhythm'in kalp izleme hizmetlerini kullanan veya geçmişte kullanmış olan hastalar. Maine Başsavcılığı'na yapılan resmi bildirime göre, tam olarak 148,819 kişi bu ihlalden etkilendi. Bu rakam, şirketin soruşturma sonucunda verilerine yetkisiz erişim sağlandığını tespit ettiği kişi sayısını temsil ediyor.
Etkilenen kişilerin, şirketin Zio gibi ürünlerini kullanan ve bu süreçte kişisel, finansal ve tıbbi bilgilerini şirketle paylaşmış olan bireyler olduğu anlaşılıyor. Bu hastalar, artık verilerinin siber suçluların elinde olabileceği gerçeğiyle yüzleşmek zorundadır. Şirket, 14 Haziran 2026 tarihinden itibaren etkilenen tüm kişilere bilgilendirme mektupları göndermeye başladı.
Ne Yapabilirsin
Eğer iRhythm'den bir bildirim mektubu aldıysanız veya geçmişte şirketin hizmetlerini kullandıysanız, verilerinizin risk altında olabileceğini varsayarak hemen harekete geçmelisiniz. İşte atabileceğiniz adımlar:
- Şirketin Sunduğu Ücretsiz Hizmeti Aktif Edin: iRhythm, mağdurlara Experian aracılığıyla 12 ay boyunca ücretsiz kredi izleme ve kimlik hırsızlığı koruma hizmetleri sunuyor. Bilgilendirme mektubunda bu hizmeti nasıl aktif edeceğinize dair talimatlar yer alacaktır. Bu hizmeti kesinlikle kullanın. Kredi raporunuzda adınıza yeni bir hesap açılması gibi şüpheli aktiviteleri size anında bildirir.
- Oltalama Saldırılarına Karşı Tetikte Olun: Saldırganlar artık sizinle ilgili çok özel bilgilere sahip. Tıbbi teşhisiniz, tedavi geçmişiniz ve sigorta bilgilerinizle hazırlanmış son derece ikna edici e-postalar, SMS'ler veya telefon aramaları alabilirsiniz. Sizden kişisel bilgi veya ödeme talep eden her türlü iletişime şüpheyle yaklaşın. Hiçbir meşru kurum, sizden e-posta yoluyla parola veya Sosyal Güvenlik Numaranızı istemez.
- Hesaplarınızı Gözden Geçirin: Banka ve kredi kartı ekstrelerinizi, ayrıca sağlık sigortanızdan gelen harcama bildirimlerini (Explanation of Benefits - EOB) dikkatlice inceleyin. Tanımadığınız veya şüpheli bulduğunuz herhangi bir işlemi derhal ilgili kuruma bildirin.
- Kredi Dondurma (Credit Freeze) Seçeneğini Değerlendirin: Kredi izleme hizmeti sizi uyarırken, kredi dondurma işlemi adınıza yeni kredi hesapları açılmasını engeller. Bu, kimlik hırsızlığına karşı en etkili önlemlerden biridir. ABD'deki üç büyük kredi bürosu (Experian, TransUnion, Equifax) ile iletişime geçerek kredinizi ücretsiz olarak dondurabilirsiniz.
Sirket Ne Diyor
iRhythm, yaptığı resmi açıklamada olayı ciddiyetle ele aldığını ve müşterilerinin güvenliğine büyük önem verdiğini vurguladı. Şirket, ihlali fark ettikten hemen sonra, siber güvenlik uzmanlarının da yardımıyla sistemlerini güvence altına almak için adımlar attığını belirtti. Ayrıca, federal kolluk kuvvetleriyle de iş birliği içinde olduklarını eklediler.
Şirketin veri ihlali bildirim mektubunda şu ifadelere yer verildi: "Bu olayın neden olabileceği endişe ve rahatsızlıktan dolayı üzgünüz. Bilgilerinizi korumak için adımlar atıyoruz ve bu olaya yanıt olarak güvenlik önlemlerimizi daha da güçlendirmek için çalışıyoruz." iRhythm, etkilenen kişilere destek olmak amacıyla bir çağrı merkezi kurduğunu ve 12 aylık ücretsiz kimlik koruma hizmeti sunduğunu yineledi. Bu adımlar, veri ihlalleri sonrası kurumsal dünyada standart hale gelmiş kriz yönetimi prosedürleridir ve şirketin yasal yükümlülüklerini yerine getirme çabasını göstermektedir.