189 hastane işleten HCA Healthcare siber olay açıkladı: hasta ve çalışan verisine yetkisiz erişim, bazı hastalarda banka hesap bilgisi de var
ABD'nin en büyük hastane işletmecilerinden HCA Healthcare, 12 Ağustos 2026'da bazı BT sistemlerine yetkisiz erişim olduğunu doğruladı. Etkilenen dosyalarda Sosyal Güvenlik numarası, tanı ve tedavi bilgileri ile bir grup hastada finansal hesap numaraları bulunuyor; toplam kişi sayısı açıklanmadı.
ABD'de 19 eyalette 189 hastane ve yaklaşık 2.600 ayakta tedavi noktası işleten HCA Healthcare, hasta ve çalışan verilerinin etkilendiği bir siber güvenlik olayını açıkladı. HIPAA Journal'ın aktardığına göre şirket bazı BT sistemlerinde şüpheli etkinlik tespit etti; adli inceleme bu sistemlere 12 Ağustos 2026'da yetkisiz erişim olduğunu doğruladı.
Olay, HCA'nın 2023'te yaşadığı ve yaklaşık 11 milyon hastanın iletişim ve randevu bilgilerini etkileyen ihlalden ayrı bir vaka.
Ne biliniyor?
- Veri türleri: HIPAA Journal'a göre etkilenen dosyalarda iletişim ve demografik bilgiler, Sosyal Güvenlik numarası, ehliyet numarası, doğum tarihi, tıbbi kayıt ve hasta hesap numaraları, tanı, tedavi ve reçete bilgileri, hekim adları, hizmet tarihleri ve sağlık sigortası bilgileri bulunuyor.
- Finansal veri: Bir grup hastada finansal hesap ve banka yönlendirme (routing) numaraları da etkilendi.
- Kapsam: Şirkete bağlı bazı tesis ve hekim muayenehanelerine ait hasta verilerinin de etkilendiği belirtiliyor. Çalışan verileri de olayın parçası.
- Yanıt: ClaimDepot, şirketin sistemleri güvenli hale getirip dış uzmanlarla inceleme başlattığını ve etkilenenlere iki yıllık ücretsiz kimlik hırsızlığı koruma hizmeti sunduğunu aktarıyor.
- Bilinmeyenler: Toplam etkilenen kişi sayısı, saldırının yöntemi ve arkasındaki grup açıklanmadı. Olayı üstlenen bir grup da yok.
Neden önemli?
Tanı ve tedavi bilgisinin Sosyal Güvenlik ve banka hesap numarasıyla aynı dosyalarda bulunması, hem kimlik hırsızlığı hem de hastayı hedef alan şantaj ve dolandırıcılık riskini artırıyor. Tespitten kamuoyu açıklamasına kadar yaklaşık üç ay geçmesi, büyük hastane gruplarında hangi dosyada kimin verisi olduğunu çıkarmanın ne kadar uzun sürdüğünü bir kez daha gösteriyor.
Ne yapılmalı?
- HCA'dan ya da bağlı bir tesisten bildirim aldıysanız, sunulan kimlik koruma hizmetini mektuptaki resmi yönlendirmeyle etkinleştirin.
- Bildirimde finansal hesap bilgisi geçiyorsa bankanızla görüşüp hesap hareketleri için uyarı açtırın.
- "Fatura", "sigorta iadesi" ya da "tedavi bilgisi doğrulama" bahanesiyle gelen telefon ve e-postalara karşı dikkatli olun; kişisel bilgi ya da ödeme istemeyi hastanenin resmi kanalından teyit edin.
- Kurumsal tarafta: klinik ve finansal verinin aynı dosya paylaşımlarında birlikte tutulup tutulmadığını gözden geçirin; ayrı saklama ve erişim loglaması, olası bir ihlalde etkilenen kişi ve veri setini daralttığı gibi bildirim süresini de kısaltır.
