Bir Siber Saldırı ABD Sağlık Sistemini Nasıl Felç Etti?

Bir hastaneye gittiğinizi düşünün.

Doktor muayenesini tamamlıyor, reçetenizi yazıyor fakat sistem çalışmadığı için eczane ilacınızı normal şekilde işleme alamıyor. Hastane hizmetini vermeye devam ediyor ancak sigorta ve ödeme sistemleri düzgün çalışmıyor.

Bu bir sistem arızası değil, siber saldırı nedeniyle yaşanabilir.

2024 yılında gerçekleşen Change Healthcare saldırısı, bunun gerçek hayatta nasıl gerçekleşebileceğini gösteren en önemli örneklerden biri oldu.

Saldırı Nasıl Başladı?

21 Şubat 2024'te UnitedHealth Group, Change Healthcare'ın bazı bilgi teknolojisi sistemlerine siber saldırganların eriştiğini tespit etti. Şirket, saldırının yayılmasını engellemek amacıyla etkilenen sistemleri izole etti.

Sorun şuydu:

Change Healthcare sıradan bir şirket değildi.

Şirket; sağlık kuruluşları, sigorta şirketleri, eczaneler ve ödeme sistemleri arasında sağlık talepleri ve ödeme işlemlerinin aktarılmasında kritik bir rol oynuyordu.

Dolayısıyla bazı sistemlerin kapatılması, saldırının etkisinin doğrudan şirket sınırlarının dışına çıkmasına neden oldu.

Saldırının Etkisi Neden Bu Kadar Büyük Oldu?

Saldırı sonrasında elektronik reçete, sağlık sigortası talepleri ve ödeme işlemlerinde ciddi problemler yaşandı.

UnitedHealth Group, 7 Mart 2024 tarihli açıklamasında bazı kritik hizmetlerin yeniden devreye alınması için çalışmaların sürdüğünü bildirdi.

Daha da dikkat çekici olan ise ekonomik etkisiydi.

Sistemlerin kullanılamaması nedeniyle sağlık hizmeti sağlayıcılarının nakit akışları da etkilendi. UnitedHealth Group, saldırıdan etkilenen sağlık kuruluşlarına finansal destek sağlamak zorunda kaldı. Mart ayında şirketin açıkladığı rakam 2 milyar doların üzerindeyken, Haziran 2024 sonunda avans ve faizsiz kredilerin toplamı 9 milyar doların üzerine çıktı.

Yani saldırı yalnızca:

"Bir bilgisayar sistemi çalışmadı."

meselesi değildi.

Saldırı, birbirine bağlı dijital sistemler üzerinden gerçek dünyadaki sağlık hizmetlerinin işleyişini etkiledi.

Peki Veriler de Çalındı mı?

Evet.

UnitedHealth Group'un yaptığı incelemelerde, saldırıya ilişkin bazı dosyalarda kişisel tanımlayıcı bilgiler (PII) ve korunan sağlık bilgileri (PHI) bulunduğu tespit edildi. Şirket, verilerin ABD'deki insanların önemli bir bölümünü kapsayabilecek nitelikte olduğunu belirtti.

ABD Sağlık ve İnsan Hizmetleri Bakanlığı (HHS) ise olayı bir fidye yazılımı saldırısı olarak tanımladı ve saldırının ardından Change Healthcare ile UnitedHealth Group hakkında incelemeler başlattığını açıkladı.

Bu Olay Siber Güvenlik Açısından Neden Önemli?

Change Healthcare vakasının en önemli dersi, bir şirketin güvenliğinin yalnızca kendi sistemleriyle sınırlı olmamasıdır.

Bir kuruluş başka şirketlere kritik dijital hizmetler sağlıyorsa, o sistemin devre dışı kalması tedarik zinciri ve üçüncü taraf riskine dönüşebilir.

Bu nedenle modern siber güvenlikte şu sorular kritik hale geliyor:

• Kritik sistemler saldırı sırasında izole edilebilir mi?
• Yedek sistemler gerçekten çalışıyor mu?
• İş sürekliliği planı test edildi mi?
• Üçüncü taraf hizmet sağlayıcıların güvenliği denetleniyor mu?
• Sistemler tamamen kapandığında operasyonlar nasıl devam edecek?

Sonuç

Change Healthcare saldırısı, fidye yazılımlarının yalnızca dosyaları şifreleyen bir tehdit olmadığını gösterdi.

Asıl tehlike, dijital sistemlerin gerçek dünyadaki hizmetlere bağlanmış olmasıdır.

Bir ödeme sistemi, hastane ağı veya eczane altyapısı birkaç saatliğine çalışmadığında bunun sonucu yalnızca ekranda görülen bir hata mesajı olmayabilir.

Bazen sonuç, bir hastanın ilacına ulaşamaması veya bir sağlık kuruluşunun ödemelerini alamaması kadar gerçek olabilir.

Bu yüzden siber güvenlikte artık yalnızca "Saldırgan içeri girebilir mi?" sorusunu değil, "İçeri girerse hayatımızın hangi kısmı durur?" sorusunu da sormak gerekiyor.