MFA yoktu, uyarı sessiz kaldı: Perry Johnson, 13 milyon kişiyi etkileyen 2023 ihlali için dört eyaletle uzlaştı
ABD'de dört eyalet başsavcılığı, tıbbi transkripsiyon ve görüntüleme hizmeti veren Perry Johnson şirketleriyle 300 bin dolarlık uzlaşmaya vardı. Reformlar yapılmazsa 9,7 milyon dolar daha ödenecek.
Nevada merkezli Perry Johnson şirketleri, Mart 2023'te yaşanan ve ABD genelinde 13 milyondan fazla kişiyi etkileyen ihlal nedeniyle Connecticut, New Jersey, New York ve Michigan başsavcılıklarıyla uzlaşmaya vardı. The Record'un 6 Kasım tarihli haberine göre dava, grubun tıbbi transkripsiyon, kodlama ve görüntüleme alanındaki yan şirketlerini kapsıyor.
Uzlaşma tutarı 300 bin dolar. Şirket istenen güvenlik reformlarını hayata geçirmezse 9,7 milyon dolar daha ödemek zorunda kalacak. Şirket, The Record'un yorum talebine yanıt vermedi.
Ne oldu?
Başsavcılıkların iddialarına göre saldırganlar bir çalışanın kimlik bilgileriyle içeri girdi; şirket multi-factor authentication (MFA) kullanmıyordu. Saldırgan parolaları topladı ve şifrelenmemiş dosyalara ulaştı. İzleme yazılımı faaliyeti kaydetti ancak yanlış yapılandırıldığı için alarm üretmedi. Veri çıkarma iki ay sürdü; şirketin ihlali ancak saldırganlar kendisine haber verdiğinde öğrendiği öne sürülüyor.
Açığa çıkan veriler arasında ad, doğum tarihi, ev adresi, Sosyal Güvenlik numarası, hastane hesap numarası, tanılar, sigorta bilgileri ile ilaç ve test sonuçları gibi klinik bilgiler bulunuyor.
Uzlaşma ne istiyor?
Şirketten kapsamlı bir bilgi güvenliği programı ve olay müdahale standartları kurması; MFA, şifreleme ve parola yönetim sistemleri devreye alması; yıllık risk değerlendirmesi yapması ve sağlık verisinin toplanması, kullanımı, saklanması ve imhası için bir yönetim sistemi kurması isteniyor.
Tablo tanıdık: tek bir ele geçirilmiş hesap, MFA eksikliği ve kayıt tutup alarm vermeyen bir izleme aracı. Sorun ürün eksikliği değil, mevcut aracın kimse bakmadan çalışması.
Ne yapılmalı?
- Uzaktan erişim, e-posta ve dosya sunucularına erişen tüm hesaplarda MFA zorunlu olsun; istisna listesini düzenli gözden geçirin.
- İzleme ve SIEM kurallarının gerçekten alarm ürettiğini test edin; "kayıt var ama uyarı yok" durumunu periyodik senaryo testleriyle yakalayın.
- Hassas veriyi (sağlık, kimlik numarası) dinlenme halinde şifreleyin ve saklama süresi dolanı imha edin.
- Türkiye'deki sağlık ve hizmet sağlayıcı kuruluşlar için not: KVKK kapsamında özel nitelikli kişisel veri olan sağlık verisi için ek teknik önlemler beklenir; benzer bir olayda bildirim yükümlülüğü de gündeme gelir.
- Hizmet aldığınız transkripsiyon, kodlama veya görüntüleme tedarikçilerine MFA ve şifreleme durumunu sözleşme düzeyinde sorun.
