DentaQuest Veri İhlali 23 Milyondan Fazla Kişiyi Etkiliyor

Ne Oldu

Amerika Birleşik Devletleri'nin en büyük diş ve göz sağlığı sigorta yöneticilerinden biri olan DentaQuest, potansiyel olarak 23 milyondan fazla kişiyi etkileyen devasa bir veri ihlaliyle sarsıldı. Sun Life'ın bir iştiraki olan şirket, saldırganların sistemlerine sızarak milyonlarca müşterinin son derece hassas kişisel ve tıbbi bilgilerine eriştiğini duyurdu. Olay, siber güvenlik dünyasında ve sağlık sektöründe şok etkisi yarattı.

Şirketin açıklamasına göre, siber saldırı 20 Mayıs'ta tespit edildi. Yapılan adli bilişim incelemeleri, saldırganların 17 Mayıs ile 20 Mayıs tarihleri arasında, yani yaklaşık üç günlük bir süre boyunca DentaQuest'in ağına yetkisiz erişim sağladığını ortaya koydu. Bu kısa süre, saldırganların büyük miktarda veriyi tespit edip sistem dışına çıkarması için yeterli oldu. Bu durum, saldırının ne kadar hedefli ve organize olduğunu gözler önüne seriyor.

Saldırının sorumluluğunu, siber suç dünyasında kötü bir şöhrete sahip olan gaspçı grup ShinyHunters üstlendi. Grup, DentaQuest'ten çaldığını iddia ettiği yaklaşık 234 GB boyutunda devasa bir veri setini sızdırdığını duyurdu. ShinyHunters, geçmişte de birçok büyük şirketi hedef alarak elde ettiği verileri karanlık ağ forumlarında satması veya sızdırmasıyla tanınıyor. Grubun bu olayı üstlenmesi, ihlalin ciddiyetini ve verilerin kötü niyetli aktörlerin eline geçtiği ihtimalini güçlendiriyor.

Ele Gecirilen Veriler

Siber saldırganlar tarafından ele geçirilen verilerin niteliği, olayın vahametini daha da artırıyor. Bu sadece basit bir e-posta ve şifre sızıntısı değil; kurbanların hayatlarını derinden etkileyebilecek, kimlik hırsızlığı ve dolandırıcılık için kullanılabilecek son derece hassas bilgiler içeriyor. Ele geçirilen veri türleri arasında şunlar bulunuyor:

• Kişisel Tanımlama Bilgileri: Tam adlar, posta adresleri, e-posta adresleri ve telefon numaraları.
• Finansal ve Devlet Kimlik Bilgileri: Sosyal Güvenlik Numaraları (SSN), üye kimlik numaraları, Medicaid ve Medicare numaraları ve devlet tarafından verilen kimlik belgeleri.
• Doğum Tarihleri: Kimlik doğrulama süreçlerinde sıkça kullanılan kritik bir bilgi.
• Sigorta Bilgileri: Sigorta sağlayıcısının adı gibi poliçe detayları.
• Korumalı Sağlık Bilgileri (PHI): Belki de en endişe verici olanı, hastaların teşhis, tedavi detayları ve fatura bilgileri gibi son derece özel tıbbi kayıtları.

Bu verilerin bir araya gelmesi, siber suçlular için adeta bir altın madeni niteliği taşıyor. Sosyal Güvenlik Numaraları, kurbanlar adına sahte kredi kartı başvuruları yapmak, kredi çekmek veya vergi iadesi dolandırıcılığı yapmak için kullanılabilir. Çalınan tıbbi bilgiler (teşhisler ve tedaviler), hedefe yönelik oltalama (phishing) saldırıları için mükemmel bir zemin hazırlar. Örneğin, saldırganlar kurbana "Diş tedavinizle ilgili ödenmemiş bir faturanız var" gibi sahte ancak inandırıcı e-postalar göndererek daha fazla bilgi veya para çalmaya çalışabilir. Ayrıca bu tür hassas sağlık bilgileri, şantaj amacıyla da kullanılabilir.

Saldiri Nasil Gerceklesti

DentaQuest, saldırganların ağa nasıl sızdığına dair teknik ayrıntıları henüz kamuoyuyla paylaşmadı. Yapılan resmi açıklamalarda, saldırının spesifik vektörü, kullanılan zafiyetler veya araçlar hakkında bilgi verilmedi. Şimdilik bilinen tek şey, saldırganların 17 Mayıs ve 20 Mayıs tarihleri arasında ağa erişim sağladığı ve bu süre zarfında veri sızdırmayı başardığıdır.

Saldırıyı üstlenen ShinyHunters gibi gruplar genellikle kimlik avı saldırıları, çalınan kimlik bilgileriyle sisteme sızma veya kurumsal ağlardaki yamasız güvenlik açıklarından yararlanma gibi çeşitli yöntemler kullanır. Ancak DentaQuest vakasında hangi yöntemin kullanıldığına dair resmi bir teyit bulunmuyor. Şirketin siber güvenlik uzmanları ve olası emniyet güçleriyle birlikte yürüttüğü soruşturmanın sonuçları, gelecekte saldırının nasıl gerçekleştiğine dair daha fazla ışık tutabilir.

Etkilenenler Kim

İhlalden etkilenen kişi sayısı konusunda farklı rakamlar telaffuz ediliyor, bu da durumun karmaşıklığını gösteriyor. DentaQuest'in Teksas, Massachusetts ve Güney Karolina Başsavcılıklarına yaptığı resmi başvurulara göre, şirket en az 4.5 milyon kişiye yazılı bildirim gönderiyor. Ancak bu rakam, sadece bu üç eyaletteki yasal zorunlulukları kapsıyor olabilir.

HIPAA Journal gibi sağlık sektörü yayınları, potansiyel olarak etkilenen kişi sayısının 23.4 milyondan fazla olduğunu bildiriyor. DentaQuest'in ise en az 15 milyon kişinin etkilendiğini gayriresmi olarak doğruladığı iddia ediliyor. Bu rakamlar, DentaQuest'in ABD genelinde 50 eyalette 35 milyon kişiye hizmet veren devasa bir kuruluş olduğu gerçeğiyle örtüşüyor. Etkilenenler, DentaQuest aracılığıyla diş veya göz sağlığı sigortası hizmeti alan bireylerden oluşuyor.

Ne Yapabilirsin

Eğer DentaQuest müşterisiyseniz veya geçmişte hizmet aldıysanız, verilerinizin sızdırılmış olma ihtimaline karşı proaktif adımlar atmanız büyük önem taşıyor. İşte yapabilecekleriniz:

• Şirketin Sunduğu Hizmetlerden Yararlanın: DentaQuest, ihlalden etkilenen kişilere 24 ay boyunca ücretsiz kredi izleme, dolandırıcılık danışmanlığı ve kimlik hırsızlığı restorasyon hizmetleri sunuyor. Size gönderilecek olan bildirim mektubundaki talimatları izleyerek bu hizmetlere kaydolun. Kredi izleme, adınıza yeni bir hesap açıldığında sizi uyarır.
• Kredi Raporlarınızı Dondurun: En etkili önlemlerden biri, üç büyük kredi bürosu (Equifax, Experian, TransUnion) nezdindeki kredi raporlarınızı dondurmaktır. Bu işlem, dolandırıcıların adınıza yeni kredi veya kredi kartı hesabı açmasını neredeyse imkansız hale getirir.
• Oltalama Saldırılarına Karşı Tetikte Olun: Siber suçlular, çaldıkları bilgileri kullanarak sizi arayabilir, e-posta veya SMS gönderebilir. DentaQuest, sigorta şirketiniz veya doktorunuz gibi davranarak sizden ek bilgi veya ödeme talep edebilirler. Şüpheli bulduğunuz hiçbir bağlantıya tıklamayın, dosya indirmeyin ve kişisel bilgi paylaşmayın. İletişimin meşruiyetini doğrulamak için her zaman ilgili kurumu resmi telefon numarasından siz arayın.
• Hesap Özetlerinizi ve Tıbbi Faturalarınızı Kontrol Edin: Sigorta hesap özetlerinizi (Explanation of Benefits - EOB) ve tıbbi faturalarınızı dikkatle inceleyin. Sizin almadığınız hizmetler için düzenlenmiş faturalar fark ederseniz derhal sigorta şirketinizle ve ilgili sağlık kurumuyla iletişime geçin. Bu, tıbbi kimlik hırsızlığının bir işareti olabilir.

Sirket Ne Diyor

DentaQuest, olayı 20 Mayıs'ta keşfettiğini ve derhal bir soruşturma başlattığını belirtti. Şirket, yaptığı resmi olay bildiriminde, etkilenen bireylere yönelik adımlarını sıraladı. Bu adımlar arasında, etkilenen tüm kişilere yazılı bildirim mektupları göndermek ve kimliklerini korumalarına yardımcı olmak amacıyla 24 ay boyunca ücretsiz kredi izleme ve kimlik hırsızlığına karşı koruma hizmetleri sağlamak yer alıyor.

Şirket, soruşturmanın devam ettiğini ve siber güvenlik önlemlerini güçlendirmek için çalıştığını ifade etti. Ancak, saldırının kök nedenine veya gelecekte benzer olayların nasıl önleneceğine dair detaylı bir teknik açıklama henüz yapılmadı. Müşteriler ve düzenleyici kurumlar, DentaQuest'ten olayla ilgili daha fazla şeffaflık bekliyor.

Kaynak

https://www.securityweek.com/dentaquest-data-breach-potentially-impacts-over-23-million-people/