Unlimited Technology Systems Sızıntısı 3.8 Milyon Kişiyi Vurdu

Ne Oldu

Sağlık sektörüne finansal teknoloji çözümleri sunan Ohio merkezli Unlimited Technology Systems, devasa bir veri sızıntısıyla gündemde. Şirket, yaptığı resmi açıklamada siber saldırganların sistemlerine sızarak tam 3.803.750 kişinin hassas verilerini ele geçirdiğini doğruladı. Bu sızıntı, özellikle sağlık verilerinin mahremiyeti konusundaki endişeleri yeniden alevlendirdi.

Şirketin Iowa Başsavcılığı'na sunduğu bildirim mektubuna ve ABD Sağlık ve İnsan Hizmetleri Bakanlığı'na (HHS) yapılan resmi dosyalamaya göre, olay aslında çok daha önce yaşandı. Şirket, sistemlerindeki şüpheli aktiviteyi ilk olarak Ekim 2025'te fark etti. Yürütülen soruşturma sonucunda, saldırganların 5 Ekim ile 10 Ekim 2025 tarihleri arasında, yani beş günlük bir zaman diliminde, şirketin ticari veri merkezlerinden birinden veri çaldığı anlaşıldı. Ancak bu durumun kamuoyuna ve etkilenen milyonlarca kişiye duyurulması için yaklaşık on ay beklenmesi, sızıntının kendisi kadar büyük bir soru işareti yaratıyor. Şirket, HHS'nin sızıntı portalına bildirimi Temmuz 2026'nın sonlarında yaptı ve portalda kayıt 6 Ağustos 2026'da görünür hale geldi.

Unlimited Technology Systems, 4.500'den fazla onkoloji ofisi ve 6.500'ü aşkın uzman sağlık kuruluşuyla çalıştığını belirtiyor. Bu durum, sızıntıdan etkilenenlerin büyük bir kısmının zaten hassas sağlık sorunlarıyla mücadele eden hastalar olabileceği gerçeğini ortaya koyuyor. Çalınan verilerin niteliği, bu kişileri yalnızca kimlik hırsızlığına değil, aynı zamanda son derece hedefli dolandırıcılık ve hatta şantaj girişimlerine karşı da savunmasız bırakıyor.

Ele Geçirilen Veriler

Siber saldırganlar, kurbanlar hakkında kapsamlı bir dijital dosya oluşturmaya yetecek kadar çeşitli ve kritik bilgiyi ele geçirdi. Şirketin açıklamasına göre çalınan veriler üç ana kategoride toplanıyor: kişisel, tıbbi ve sigorta bilgileri. Bu, saldırganların kurbanların hayatlarının birçok farklı yönüne nüfuz etme potansiyeline sahip olduğu anlamına geliyor.

Ele geçirilen verilerin tam listesi şu şekilde:

• Kişisel Tanımlayıcı Bilgiler (PII): Tam adlar, ev adresleri, telefon numaraları ve e-posta adresleri. Bu temel bilgiler, dolandırıcıların kurbanlarla doğrudan temas kurması veya diğer verilerle birleştirerek daha karmaşık saldırılar düzenlemesi için bir başlangıç noktasıdır.
• Sosyal Güvenlik Numaraları (SSN): Kimlik hırsızlığının anahtarı olarak kabul edilen bu bilgi, suçluların kurbanlar adına kredi kartı başvurusu yapmasına, banka hesabı açmasına veya yasa dışı işlerde kullanmasına olanak tanır.
• Tıbbi Bilgiler: Tıbbi kayıt numaraları, teşhisler ve hizmet alınan tarihler gibi son derece özel bilgiler. Bu veriler, sahte tıbbi taleplerde bulunmak, reçeteli ilaçları yasa dışı yollarla temin etmek veya kişilere tıbbi durumları üzerinden şantaj yapmak için kullanılabilir.
• Sağlık Sigortası Bilgileri: Sigorta poliçe numaraları ve talep/fayda bilgileri. Saldırganlar bu bilgileri kullanarak sigorta şirketlerini dolandırabilir ve kurbanların sigorta kayıtlarında sahte işlemler gerçekleştirebilir.
• Taranmış Belgeler: Sürücü ehliyetleri ve diğer resmi kimlik belgeleri gibi taranmış dokümanlar. Bu belgeler, kimlik doğrulama süreçlerini atlatmak ve kurbanların kimliğine bürünerek daha sofistike dolandırıcılık eylemleri gerçekleştirmek için kullanılabilir.

Şirket, sızıntının tam hasta tıbbi kayıtlarını, tıbbi görüntüleme sonuçlarını (röntgen, MR gibi) veya kredi kartı ya da banka hesabı gibi doğrudan finansal bilgileri içermediğini özellikle vurguladı. Ancak çalınan verilerin birleşimi, kurbanlar için ciddi bir risk profili oluşturmaya fazlasıyla yetiyor.

Saldırı Nasıl Gerçekleşti

Unlimited Technology Systems, saldırının teknik detayları hakkında oldukça sınırlı bilgi paylaştı. Yapılan açıklamada, saldırganların Ekim 2025'in başlarında şirketin kullandığı ticari veri merkezlerinden birine sızdığı ve yaklaşık beş gün boyunca veri çektiği belirtiliyor. Ancak saldırganların bu veri merkezine nasıl sızdığı, hangi güvenlik zafiyetinden yararlandığı veya hangi yöntemleri kullandığı konusunda herhangi bir ayrıntı verilmedi.

Saldırının arkasında hangi tehdit aktörünün veya grubun olduğu da belirsizliğini koruyor. Bugüne kadar bilinen herhangi bir fidye yazılımı veya siber gasp çetesi bu saldırıyı üstlenmedi. Bu durum, saldırının amacının doğrudan fidye talep etmek yerine, çalınan verileri karanlık ağda satarak veya gelecekteki dolandırıcılık operasyonlarında kullanarak paraya çevirmek olabileceği ihtimalini güçlendiriyor.

Etkilenenler Kim

Sızıntıdan doğrudan etkilenen 3.8 milyon kişi, Unlimited Technology Systems'in hizmet verdiği sağlık kuruluşlarının hastaları. Şirketin 4.500'den fazla onkoloji kliniği ve 6.500'den fazla uzman sağlık sağlayıcısı ile çalıştığı göz önüne alındığında, kurbanların profili oldukça hassas bir grubu kapsıyor. Bu kişiler, kanser tedavisi gören veya diğer ciddi rahatsızlıklarla mücadele eden bireyler olabilir. Zaten zorlu bir süreçten geçen bu hastaların bir de kimlik hırsızlığı ve dolandırıcılık riskiyle karşı karşıya kalması, durumun ciddiyetini daha da artırıyor.

Ne Yapabilirsin

Eğer Unlimited Technology Systems'in hizmet verdiği bir sağlık kuruluşundan hizmet aldıysanız ve bu sızıntıdan etkilendiğinize dair bir bildirim aldıysanız, derhal harekete geçmeniz önemlidir. İşte atabileceğiniz adımlar:

• Ücretsiz Hizmetleri Aktif Hale Getirin: Şirket, mağdurlara iki yıl boyunca ücretsiz kredi izleme, dolandırıcılık danışmanlığı ve kimlik hırsızlığı restorasyon hizmetleri sunuyor. Size gönderilen bildirim mektubundaki talimatları izleyerek bu hizmetlere hemen kaydolun. Kredi izleme, adınıza yeni bir hesap açıldığında sizi uyarır.
• Kredi Raporlarınızı Dondurun: Kredi bürolarıyla (Equifax, Experian, TransUnion) iletişime geçerek kredi raporlarınızı dondurun. Bu, yeni kredi başvurularını engeller ve kimlik hırsızlığının finansal zarara yol açmasını önlemede en etkili yöntemdir.
• Hesaplarınızı Gözden Geçirin: Banka hesaplarınızı, kredi kartı ekstrelerinizi ve özellikle sağlık sigortanızdan gelen harcama bildirimlerini (Explanation of Benefits - EOB) dikkatle inceleyin. Tanımadığınız herhangi bir işlem veya tıbbi talep fark ederseniz derhal ilgili kurumla iletişime geçin.
• Oltalama (Phishing) Saldırılarına Karşı Dikkatli Olun: Saldırganlar, ele geçirdikleri kişisel ve tıbbi bilgilerinizi kullanarak size özel olarak hazırlanmış, oldukça inandırıcı oltalama e-postaları veya mesajları gönderebilir. Örneğin, teşhisinize veya tedavi geçmişinize atıfta bulunan sahte bir e-posta ile sizden ek bilgi talep edebilirler. Şüpheli bağlantılara tıklamayın ve kişisel bilgilerinizi asla e-posta yoluyla paylaşmayın.

Şirket Ne Diyor

Unlimited Technology Systems, yaptığı açıklamada olayı Ekim 2025'te tespit ettiklerini ve derhal bir soruşturma başlattıklarını belirtti. Şirket, çalınan bilgilerin bugüne kadar kötüye kullanıldığına dair herhangi bir kanıta rastlanmadığını ifade ediyor. Ancak bu tür ifadeler, sızıntıya uğrayan kişiler için genellikle zayıf bir teselli olmaktan öteye gitmez, çünkü çalınan veriler yıllar sonra bile kullanılabilir.

Şirket, etkilenen kişilere destek olmak amacıyla iki yıllık ücretsiz kredi izleme ve kimlik hırsızlığı koruma hizmetleri sunduğunu yineledi. Ayrıca, olayın ardından güvenlik önlemlerini artırmak için adımlar attıklarını da eklediler. Ancak bu önlemlerin neler olduğu konusunda detaylı bir bilgi paylaşılmadı. Şirketin yaklaşık on ay süren sessizliği ve bildirimi bu kadar geciktirmesi, hem yasal düzenleyiciler hem de kamuoyu tarafından sorgulanmaya devam edecektir.

Kaynak

https://www.securityweek.com/3-8-million-impacted-by-unlimited-technology-systems-data-breach/