Marathon Health'te "BT çalışanı" taklidiyle ihlal: bir çalışanın parolası alındı, bulut uygulamasından veri dışarı aktarıldı; bildirim 5,7 milyon kişiye kadar uzanabilir
ABD'de işverenlere çalışan sağlığı klinikleri işleten Marathon Health, kendini şirketin BT personeli olarak tanıtan bir kişinin bir çalışanın giriş bilgilerini alıp bulutta barındırılan bir uygulamaya eriştiğini ve veri dışarı aktardığını açıkladı. Etkilenen sayı kaynaklara göre 270 bin ile yaklaşık 5,7 milyon arasında değişiyor.
ABD'de işverenler adına çalışanlara yönelik birinci basamak sağlık klinikleri işleten Marathon Health, bir sosyal mühendislik saldırısı sonucu kişisel ve sağlık verilerinin dışarı aktarıldığını açıkladı. GovInfoSecurity ve HIPAA Journal, şirketin yaklaşık 5,7 milyon kişiye bildirim yaptığını aktarıyor. Insurance Business ise başlığında 270 bin rakamını kullanıyor; iki rakam farklı eyalet bildirimlerinden geliyor ve tüm eyaletleri kapsayan kesin toplam henüz yayımlanmadı.
Ne biliniyor?
- Yöntem: Şirketin açıklamasına göre bir kişi kendini Marathon'un BT çalışanı olarak tanıttı ve bir çalışanın giriş bilgilerini elde etti. Bu bilgilerle bulutta barındırılan bir uygulamaya erişildi ve bu sırada veri dışarı aktarıldı.
- Süre: Marathon, erişimin 24 Ağustos 2026'da "birkaç saat içinde" gerçekleştiğini söylüyor.
- Veri türleri: Bildirimlere göre ad, doğum tarihi, iletişim ve adres bilgileri, Sosyal Güvenlik numarası, sağlık kayıtları, tıbbi bilgiler ve sağlık sigortası bilgileri etkilenmiş olabilir.
- Kapsam: Marathon'un işverenler adına çalıştığı için, şirketten hiç hizmet almamış bazı kişilerin de bildirim mektubu alabileceği belirtiliyor.
- Sorumlu: Saldırıyı üstlenen bir grup yok. GovInfoSecurity, ShinyHunters'ın sızıntı sitesinde haber tarihi itibarıyla Marathon Health'in yer almadığını not ediyor.
Neden önemli?
Olay, yardım masasını ya da BT ekibini taklit eden telefon ve mesaj saldırılarının sağlık sektöründe hâlâ en verimli giriş yollarından biri olduğunu gösteriyor. Saldırganın herhangi bir zafiyet kullanmasına gerek kalmadı; tek bir çalışan hesabı, bulut uygulamasındaki geniş bir veri setine birkaç saatte ulaşmaya yetti. Sitede bugün işlenen Myriad Genetics olayı ile birlikte, sağlık verisi tutan kurumların ardı ardına açıklama yaptığı bir hafta yaşanıyor.
Ne yapılmalı?
- Bildirim mektubu aldıysanız, mektupta sunulan kimlik koruma hizmetini yalnızca mektuptaki resmi yönlendirmeyle etkinleştirin; e-posta ya da telefonla gelen "Marathon Health adına" doğrulama taleplerine itibar etmeyin.
- Kurumsal tarafta: BT ve yardım masası adına çalışanı arayan ya da yazan kişinin kimliğini doğrulamak için geri arama (callback) ve ikinci kanal onayı kuralı koyun; parola ve MFA kodu hiçbir koşulda telefonda paylaşılmamalı.
- Bulutta tutulan hasta ve çalışan verisi uygulamalarında, olağan dışı toplu dışa aktarma işlemleri için uyarı kuralı tanımlayın ve hangi rollerin toplu export yetkisine sahip olduğunu gözden geçirin.
- Çalışanlara, kendini BT olarak tanıtan kişilerin giriş bilgisi istemesinin bir saldırı işareti olduğunu hatırlatan kısa bir farkındalık notu gönderin.
