Diş hekimliği bilgi sisteminden hasta sağlık verileri sızdırıldı

Estonya'da ağustos sonunda diş sağlığı hizmeti sağlayıcılarına bilgi sistemi hizmeti veren Innovaatik, yönetimindeki bilgisayar sistemine defalarca yetkisiz erişim sağlandığını ve hasta kişisel verileri ile sağlık verilerinin indirildiğini polise bildirdi. Çarşamba günü polis, 45 yaşındaki bir Estonya vatandaşını şüpheli olarak gözaltına aldı.

Savcılık ve polis, şüphelinin artık verilere erişiminin olmadığını ve verilerin daha geniş bir kitleye yayılmasının muhtemelen önlendiğini açıkladı.

Soruşturma başlatıldı

Merkez Kriminal Polis Siber Suç Bürosu Başkanı Jete Luik, pazar günü yapılan ihbarın büyük ölçekli bir veri sızıntısına işaret ettiğini belirterek, "Sızıntının boyutunu belirlemek ve verilerin daha fazla yayılmasını durdurmak için derhal soruşturma başlattık" dedi.

İlk değerlendirmelere göre sızıntı, 300'den fazla Estonya sağlık hizmeti sağlayıcısının verilerini etkiledi. Polis, ceza soruşturması sırasında kaç hastanın verisine ulaşıldığını belirleyecek. Şu ana kadar toplanan bilgilere göre, Innovaatik'in veritabanından kişisel kimlik kodları, e-posta adresleri ve sağlık verileri indirildi. Gerekirse sağlık hizmeti sağlayıcıları hastalarını bilgilendirecek.

Mevcut bilgilere göre şüpheli, haziran sonundan itibaren veritabanına yetkisiz erişim sağladı. İndirilen verilerin çoğu diş tedavisiyle ilgili olmakla birlikte diğer tıbbi geçmiş bilgilerini de içerebilir.

Şüpheli motive: güvenlik açıklarına dikkat çekmek

Luik, "Siber suçlar genellikle uluslararası aktörleri içerse de bu vakada şüpheli Estonya'da faaliyet gösteriyordu. Şüphelinin şirketle önceden bağlantısı olduğunu tespit ettik ve ilk değerlendirmeler motivasyonunun bilgi sistemindeki güvenlik açıklarına dikkat çekmek olduğunu gösteriyor" diye konuştu.

Devlet savcısı Vahur Verte, mevcut bilgilere göre şüphelinin verileri kötüye kullanmadığını veya başkasına iletmediğini belirtti. Verte, "Mağdur takdire şayan bir hızla hareket etti. Olayı fark eder etmez derhal polise başvurdular; bu da hızlı hareket etmemizi ve şüpheliyi gözaltına almamızı sağladı. Olayın mevcut versiyonuna göre, yasa dışı indirilen tüm verileri geri aldık ve şüphelinin bunları paylaştığına veya yedek kopya aldığına inanmamız için bir neden yok. Hızlı müdahale sayesinde verilerin daha geniş bir kitleye yayılması muhtemelen önlendi" dedi.

Savcı, insanların doktor muayenehanesinde telefon numarasını veya sağlık sorununu açıklayıp açıklamama konusunda seçim şansı olmadığını, insanların doktorların hastalara sorumlu davrandığı gibi sağlık hizmeti sunumunda yer alan tarafların da kendilerine emanet edilen verilere aynı özeni göstereceğine güvendiğini ifade etti.

Kuşkusuz çalınan bir şifre kolayca değiştirilebilir, ancak bir suçlunun eline geçen telefon numarası, ev adresi veya tıbbi geçmiş değiştirilemez. Hassas verilerin yanlış ellere geçmesinin yol açtığı zararın telafisi çok zor veya imkansızdır" dedi.

Luik, siber suçluların giderek daha hassas verilere erişmeye çalıştığını, bu nedenle insanların sağlık verilerini işleyen şirketlerin siber güvenliğe özel bir sorumlulukla yaklaşması gerektiğini vurguladı. Ayrıca bu tür olayların diğer suçlular tarafından yeni dolandırıcılık planları oluşturmak için kolayca istismar edilebileceğini söyledi.

Luik, insanlardan veri sızıntısıyla ilgili kendileriyle iletişime geçenlere karşı dikkatli olmalarını isteyerek, "Biri sizden sızdırılmış veriler için para talep ederse, bu muhtemelen bir dolandırıcılıktır" diye uyardı.

Bilgisayar sistemine yetkisiz erişimle ilgili madde kapsamında cezai işlem başlatıldı. Soruşturmayı Merkez Kriminal Polis Siber Suç Bürosu yürütüyor ve Başsavcılık Ofisi öncülük ediyor.