Bir Siber Saldırı ABD Sağlık Sistemini Nasıl Felç Etti?

Bir hastaneye gittiğinizi düşünün.

Doktor muayenesini tamamlıyor, reçetenizi yazıyor. Ancak sistem çalışmadığı için eczane ilacı normal şekilde işleme alamıyor. Hastane açık, doktorlar görev başında fakat ödeme ve sigorta sistemleri çalışmıyor.

Bu bir sistem arızası değil.

Bir siber saldırı.

2024 yılında gerçekleşen Change Healthcare saldırısı, siber saldırıların kritik sağlık hizmetlerini nasıl etkileyebileceğini gösteren önemli örneklerden biri oldu.

Saldırı Nasıl Başladı?

21 Şubat 2024'te UnitedHealth Group, Change Healthcare'ın bazı BT sistemlerine siber saldırganların eriştiğini tespit etti.

Şirket, saldırının yayılmasını engellemek için etkilenen sistemleri izole etti.

Ancak Change Healthcare sıradan bir teknoloji şirketi değildi.

Sağlık kuruluşları, sigorta şirketleri ve eczaneler arasında sağlık talepleri ve ödeme işlemlerinin yürütülmesinde kritik bir rol oynuyordu.

Bu nedenle sistemlerin kapatılması, etkinin şirket sınırlarının dışına çıkmasına neden oldu.

Etkisi Neden Bu Kadar Büyük Oldu?

Saldırı sonrasında bazı elektronik reçete, sigorta talebi ve ödeme işlemleri ciddi şekilde aksadı.

Sağlık kuruluşları hizmet vermeye devam etse bile bazı ödemeleri normal şekilde alamadı.

Bu durum özellikle küçük sağlık kuruluşlarının nakit akışını etkiledi.

UnitedHealth Group, etkilenen sağlık kuruluşlarını desteklemek amacıyla milyarlarca dolarlık finansal yardım sağladı.

Yani saldırı yalnızca:

"Bir bilgisayar sistemi çalışmadı."

meselesi değildi.

Dijital altyapıya yapılan saldırı, gerçek dünyadaki sağlık hizmetlerini ve finansal süreçleri etkiledi.

Veriler de Çalındı mı?

Evet.

UnitedHealth Group'un incelemelerinde saldırıyla ilişkili bazı dosyalarda kişisel bilgiler (PII) ve korunan sağlık bilgileri (PHI) bulunduğu tespit edildi.

ABD Sağlık ve İnsan Hizmetleri Bakanlığı (HHS) ise olayı bir fidye yazılımı saldırısı olarak değerlendirdi ve olayla ilgili inceleme başlattı.

Bu da saldırının iki farklı boyutunu ortaya koydu:

Veri ihlali + hizmet kesintisi

Asıl Ders: Tek Bir Noktaya Bağımlılık

Change Healthcare vakasının en önemli derslerinden biri, üçüncü taraf riskinin ne kadar önemli olduğudur.

Bir şirket başka kurumlara kritik dijital hizmetler sağlıyorsa, o sistemin devre dışı kalması çok daha geniş bir ekosistemi etkileyebilir.

Bu nedenle şirketler yalnızca kendi sistemlerini değil, bağlı oldukları hizmetleri de değerlendirmeli.

Şu sorular kritik:

• Kritik sistemler saldırı sırasında izole edilebilir mi?

• Yedek sistemler gerçekten çalışıyor mu?

• Backup'tan geri dönüş test edildi mi?

• Üçüncü taraf sağlayıcıların güvenliği değerlendiriliyor mu?

• Ana sistemler çalışmazsa operasyon nasıl devam edecek?

Sonuç

Change Healthcare saldırısı bize önemli bir gerçeği gösterdi:

Siber saldırıların etkisi ekranın arkasında kalmaz.

Bir ödeme sistemi çalışmadığında hastane etkilenebilir.

Bir hastane etkilendiğinde hasta etkilenebilir.

Bir sağlık hizmeti sağlayıcısı ödeme alamadığında operasyonları aksayabilir.

Bu nedenle modern siber güvenlikte yalnızca:

"Saldırgan sisteme girebilir mi?"

sorusunu değil,

"İçeri girerse neyi durdurabilir?"

sorusunu da sormak gerekiyor.

Çünkü güvenlik saldırıyı engeller, dayanıklılık ise saldırıdan sonra sistemi ayakta tutar.