Selamlar,
ABD'nin en büyük tıbbi test şirketlerinden Quest Diagnostics, 21 Ekim 2026'da Quanum Lab Services Manager (LSM) sistemine yetkisiz erişim olduğunu öğrendiğini açıkladı. Şirket bazı hasta kayıtlarına erişildiğine inanıyor ve korunan sağlık bilgisi (PHI) ile kişisel bilgilerin (PII) etkilendiğini doğruladı.
Konuda anlatılacaklar
- Quanum LSM nedir?
- Şirketin açıkladıkları
- Bilinmeyenler
- Sağlık verisi neden bu kadar değerli?
- Kurumlar için çıkarımlar
Quanum LSM nedir?
Bazı sağlık kuruluşlarının laboratuvar testi siparişi vermek, sonuçları almak ve sorgulamak için kullandığı web tabanlı portal. Yani doğrudan hasta adı, test türü ve sonuç bilgisini içeren bir sistem.
Şirketin açıkladıkları
AP News, Fox Business ve SecurityOnline'ın aktardığı bilgilere göre:
- Quest, Quanum LSM erişimini durdurdu.
- Önlem olarak Essential Insights ve LabHQ sistemlerine erişim de durduruldu; bunlarda veriye erişilmediği belirtiliyor.
- Federal kolluk kuvvetleri bilgilendirildi, dış uzmanlar görevlendirildi.
- Şirketin temel operasyonları önemli ölçüde etkilenmedi.
- pwn.watch'a göre Quest, olayın PHP açıklarıyla ilgili olmadığını belirtti.
Bilinmeyenler
Etkilenen kişi sayısı ve hangi veri kategorilerinin etkilendiği henüz açıklanmadı; soruşturma sürüyor. Saldırının giriş noktası da paylaşılmadı. Bu tür olaylarda ilk açıklamadan sonra rakamların büyüdüğü sık görülür, takipte kalmakta fayda var.
Sağlık verisi neden değerli?
Kredi kartı iptal edilip yenilenebilir; test sonuçları, tanılar ve sağlık geçmişi değiştirilemez. Bu yüzden sağlık verisi hem şantaj hem hedefli dolandırıcılık için yüksek değerlidir. Etkilenen kişilere en sık gelen saldırı türü, "test sonucunuz hazır, görmek için giriş yapın" temalı oltalama ve sahte ödeme talepleridir.
Kurumlar için çıkarımlar
- Müşteriye veya iş ortağına açık portallar (sipariş, sonuç, randevu) ana sistemler kadar sıkı izlenmeli: MFA, anormal sorgu hacmi alarmı, toplu dışa aktarma limitleri.
- Olay anında ilgili diğer sistemleri önlem olarak durdurmak (Quest'in yaptığı gibi) yayılmayı sınırlar; bunun için önceden hazırlanmış bir izolasyon planı gerekir.
- Türkiye'deki sağlık kuruluşları için de KVKK kapsamında özel nitelikli kişisel veri olan sağlık verisinde 72 saatlik bildirim yükümlülüğünü hatırlatmakta fayda var.
Sağlık sektöründe çalışanlar: sonuç portallarınızda hangi ek kontrolleri kullanıyorsunuz?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar