Carespring, NoEscape fidye yazılımı grubu tarafından sızıntı sitesinde listelendi

• Fidye grubu: NoEscape
• Ülke: Amerika Birleşik Devletleri
• Sektör: Sağlık
• Duyuru tarihi: 14 Kasım 2023

Amerika Birleşik Devletleri merkezli bir sağlık kuruluşu olan Carespring, NoEscape adlı fidye yazılımı grubunun sızıntı sitesinde hedef olarak gösterildi. Grup, kurumun ağlarının şifrelendiğini ve verilerin kopyalandığını iddia ederek, yönetimin müzakerelere başlamaması durumunda verilerin kamuoyuna açıklanacağı tehdidinde bulundu. Söz konusu saldırı iddiası, 14 Kasım 2023 tarihinde sızıntı sitesinde yayımlanan bir duyuru ile ortaya çıktı.

Saldırı iddiası ve yaşanan olay

NoEscape grubu tarafından yapılan açıklamada, Carespring'e ait ağ sistemlerinin şifrelendiği ve kritik verilerin ele geçirildiği öne sürülmektedir. Tehdit aktörü, kurum yönetimi ile bir müzakere süreci başlatılmadığı takdirde, çalınan verilerin internet üzerinde yayımlanacağını belirterek baskı kurmaya çalışmaktadır. Grubun yayımladığı duyuru kapsamında, sızdırıldığı iddia edilen verilerin boyutunun 364 GB olduğu belirtilmiştir. Ancak, bu grubu hakkında kamuya açık kaynaklarda sınırlı miktarda bilgi bulunmaktadır.

Fidye yazılımı saldırılarında görülen çift şantaj yöntemiyle paralel olarak, saldırganlar sadece sistemleri kilitlemekle kalmayıp, aynı zamanda verileri çalmakta ve bu verilerin ifşası üzerinden fidye talep etmektedir. Bu tür durumlarda, verilerin yayımlanması tehdidi, kurumlar üzerinde ciddi bir baskı unsuru oluşturmaktadır. Mevcut durumda, saldırganların taleplerine dair herhangi bir bilgi verilmemiştir.

İddia edilen çalınan verilerin içeriği

Saldırganların yayımladığı duyuruya göre, ele geçirilen veriler çok geniş bir yelpazeye yayılmaktadır. İddia edilen veri içeriğinde hem çalışanlara hem de hastalara ait hassas bilgiler yer almaktadır. Söz konusu veriler arasında şunların bulunduğu öne sürülmektedir:

• Hasta kişisel verileri
• Çalışan kişisel verileri
• Tıbbi kayıtlar
• Finansal veriler
• Sözleşmeler

Buna ek olarak, sızıntı içeriğinde muayene sonuçları, randevu bilgileri, hasta fotoğrafları, banka bilgileri, vergi kayıtları, faturalar ve çalışanların bilgisayarlarından elde edildiği söylenen çeşitli dosyaların da bulunduğu iddia edilmektedir. Verilerin bu kadar geniş bir kapsamda olması, siber saldırının etkilerinin çok boyutlu olabileceğine işaret etmektedir.

Carespring kuruluşu hakkında

Carespring, Amerika Birleşik Devletleri'nin Ohio eyaletinde faaliyet gösteren önemli bir sağlık kuruluşudur. Kurum, rehabilitasyon ve uzun süreli bakım hizmetleri sunmakta olup, özellikle yaşlı bakımı ve klinik rehabilitasyon alanlarında uzmanlaşmış tesisler işletmektedir. Sağlık hizmetleri sunan bu tür kuruluşlar, yüksek hassasiyetli veriler barındırmaları nedeniyle siber saldırganlar için kritik hedefler arasında yer almaktadır.

Olası riskler ve sektörel değerlendirme

Sızdırıldığı iddia edilen verilerin son derece hassas nitelikte olması, hem hastalar hem de çalışanlar için ciddi riskler barındırmaktadır. Bu verilerin kötü niyetli kişilerin eline geçmesi, bireylerin kimlik hırsızlığına maruz kalmasına veya hedefli oltalama saldırılarına yakalanmasına neden olabilir. Sağlık sektörüne ait verilerin ifşası, kurumun Amerika Birleşik Devletleri'ndeki HIPAA düzenlemeleri kapsamında yasal ve idari yaptırımlarla karşı karşıya kalmasına yol açabilir.

Kurumsal düzeyde ise, bu tür bir veri sızıntısı ticari itibarın kaybına ve operasyonel süreçlerin aksamasına neden olabilecek ikincil riskler taşımaktadır. Verilerin yayımlanması, sadece kurumun kendisini değil, aynı zamanda tedarik zincirindeki diğer paydaşları da etkileyerek uzun vadeli güvenlik riskleri oluşturabilir. Sağlık kuruluşlarının bu tür tehditlere karşı hazırlıklı olması için veri şifreleme, erişim kontrolleri ve düzenli güvenlik denetimleri gibi savunma mekanizmalarını sürekli güncel tutmaları büyük önem arz etmektedir.