Unlimited Technology Systems veri ihlalinde 3,8 milyon kişinin sağlık ve kimlik bilgileri açığa çıktı

Sağlık sektörüne yönelik finans ve gelir döngüsü teknolojileri geliştiren Unlimited Technology Systems'ta meydana gelen veri ihlalinin 3 milyon 803 bin 750 kişiyi etkilediği ortaya çıktı. Ekim 2025'te gerçekleşen saldırıda hastalara ait kişisel, sağlık ve kimlik bilgilerinin yetkisiz bir tarafın erişimine açıldığı bildirildi.

Şirket, veri ihlaline ilişkin bildirim örneklerini 1 Temmuz 2026'da yetkili kurumlara sunmuş ancak ilk aşamada olaydan etkilenen kişilerin kesin sayısını açıklamamıştı.

ABD Sağlık ve İnsan Hizmetleri Bakanlığına bağlı ihlal bildirim portalında yayımlanan güncel kayıtta, bir şirket sunucusunun güvenliğinin ihlal edildiği ve 3 milyon 803 bin 750 kişinin verilerinin yetkisiz bir tarafın erişimine açıldığı belirtildi.

4 BİN 500 KLİNİĞE HİZMET VERİYOR

Unlimited Technology Systems, uzmanlık gerektiren sağlık hizmeti sağlayıcılarına yönelik finans ve gelir döngüsü teknolojileri sunuyor.

Şirketin internet sitesindeki bilgilere göre Unlimited Technology Systems, ABD genelinde 4 bin 500 klinik ve 6 bin 500 uzman sağlık hizmeti sağlayıcısına hizmet veriyor. Şirketin yıllık olarak 70 milyar doların üzerinde net sağlık hizmeti ücretini işlediği belirtiliyor.

SALDIRGANLAR DOSYALARA BEŞ GÜN BOYUNCA ERİŞTİ

Unlimited Technology Systems, 19 Ekim 2025'te ticari veri merkezinde yetkisiz faaliyet tespit ettiğini ve bir siber güvenlik adli bilişim şirketinin desteğiyle inceleme başlattığını açıkladı.

Şirketin 20 Temmuz 2026 tarihli açıklamasında şu ifadelere yer verildi:

“Unlimited Technology Systems, 19 Ekim 2025 tarihinde ticari veri merkezinde yetkisiz faaliyet tespit etti ve bir siber güvenlik adli bilişim firmasının desteğiyle soruşturma başlattı.”

Yürütülen inceleme, saldırganların faaliyetlerinin tespit edilmesinden önce sisteme erişmiş olduğunu ortaya koydu. Şirket, saldırganın 5 Ekim ile 10 Ekim 2025 tarihleri arasında belirli dosyalara eriştiğini bildirdi.

Unlimited Technology Systems, soruşturmanın bulgularına ilişkin, “Soruşturma, 5 Ekim 2025 ile 10 Ekim 2025 tarihleri arasında yetkisiz bir aktörün dosyalara eriştiğini ve Unlimited'ın hizmet verdiği sağlık kuruluşlarının hastalarına ait kişisel bilgilerin kopyalarını elde etmiş olabileceğini belirledi.” açıklamasını yaptı.

SOSYAL GÜVENLİK NUMARALARI VE KİMLİK BELGELERİ RİSK ALTINDA

İhlalde potansiyel olarak açığa çıkan verilerin kapsamının geniş olduğu bildirildi. Etkilenen bilgiler arasında ad ve soyad, Sosyal Güvenlik numarası, doğum tarihi, e-posta ve posta adresleri ile telefon numaraları bulunuyor.

Saldırganların erişmiş olabileceği veriler arasında demografik bilgilerin yanı sıra sürücü belgesi veya diğer resmi kimlik belgelerinin taranmış kopyaları ve sigorta kartları da yer aldı.

Sağlık hizmetleriyle bağlantılı hassas kayıtların da olaydan etkilenmiş olabileceği belirtildi. Bunlar arasında hasta kabul formları, sağlık sigortası poliçe numaraları, tazminat talebi ve hak bilgileri, tıbbi kayıt numaraları, hizmet tarihleri ve teşhis bilgileri bulunuyor.

Söz konusu veri türlerinin tamamının her kişi için açığa çıktığına ilişkin bir bilgi paylaşılmadı.

SALDIRININ SORUMLUSU HENÜZ BELİRLENEMEDİ

Unlimited Technology Systems, olayın ardından kolluk kuvvetlerine bildirimde bulunduğunu ve 1 Temmuz 2026'dan itibaren etkilenen hastalara veri ihlali bildirimleri göndermeye başladığını açıkladı.

Şirketin bildirimine göre herhangi bir fidye yazılımı veya veri gaspı grubu saldırının sorumluluğunu kamuoyu önünde üstlenmedi. Unlimited Technology Systems da saldırının arkasındaki kişi veya grubu henüz belirleyemedi.

HASTALAR ŞİRKETLE DOĞRUDAN İLİŞKİLİ OLMAYABİLİR

Unlimited Technology Systems'ın sağlık kuruluşları adına veri işlemesi nedeniyle olaydan etkilenen hastaların büyük bölümünün şirketle doğrudan bir ilişkisi bulunmayabileceğine dikkat çekildi.

Bu nedenle hastaların daha önce doğrudan hizmet almadıkları Unlimited Technology Systems'tan bir veri ihlali bildirimi almalarının kafa karışıklığı yaratabileceği belirtildi.

Şirket, kişisel ve sağlık bilgilerinin açığa çıkmasının oluşturabileceği riskleri azaltmak amacıyla bildirim gönderilen kişilere Kroll üzerinden kimlik izleme hizmetleri sundu.

Kaynak: Beykozun Sesi