Medicare ve Medicaid Hizmetleri Merkezleri (CMS) federal ajansı, bu ayın başlarında, geçen yıl Cl0p fidye yazılımı tarafından gerçekleştirilen MOVEit saldırılarında üç milyondan fazla sağlık planı yararlanıcısının sağlık ve kişisel bilgilerinin ifşa edildiğini duyurdu.
Bilgisayar korsanları, Medicare idari hizmetleri sağlayan Wisconsin Physicians Service (WPS) sağlık sigorta kuruluşuna sızdıktan sonra verileri çaldı.
CMS, Medicaid ve CHIP de dahil olmak üzere ülkenin başlıca sağlık programlarını yöneten HHS içindeki federal bir kuruluştur.
Programların federal standartlara uymasını sağlamak için programları denetler, fon desteği sağlar, politikaları ve düzenlemeleri uygular, kaliteyi ve maliyetleri izler ve Uygun Fiyatlı Bakım Yasası’nın (ACA) sağlık sigortası pazarını düzenlemeye yardımcı olur.
CMS’den 6 Eylül’de yapılan bir basın açıklamasında, kurum ve WPS’nin, bir yıl önce gerçekleşen MOVEit saldırılarında ifşa olan kişisel olarak tanımlanabilir bilgiler hakkında Medicare’li 946.801 kişiyi bilgilendirdiği bildirildi.
Aynı gün federal kurum, ABD Sağlık ve İnsan Hizmetleri Bakanlığı’nın (HSS) veri ihlali portalında, bilgileri çalınan toplam kişi sayısının 3.112.815 kişi olduğunu bildirdi.
BleepingComputer’a açıklamalarda bulunan bir CMS sözcüsü, söz konusu farkın ölen veya Medicare yararlanıcısı olmayan kişileri temsil ettiğini ancak WPS’nin bu kişilerin verilerini CMS için yaptığı çalışmaların bir parçası olarak topladığını açıkladı.
CMS basın bültenine göre WPS, MOVEit Transfer’in geliştiricisi olan Progress Software’in güvenlik güncellemelerini Haziran 2023’ün başlarında uyguladı ve o sırada sistemlerinin güvenli olduğunu varsaydı.
Ancak Mayıs 2024’te yaşanan olayla ilgili yapılan incelemede, saldırganların şirketin güvenlik yamasını uygulamadan önce WPS ağına girdiği ve bazı dosyaları sızdırdığı ortaya çıktı.
CMS, 8 Temmuz 2024 tarihinde çalınan dosyaların içeriğini değerlendirirken, diğer bilgilerin yanı sıra şu bilgileri içerdiğini tespit etti:
- İsim
- Sosyal Güvenlik Numarası veya Bireysel Vergi Mükellefi Kimlik Numarası
- Doğum Tarihi
- Posta adresi
- Cinsiyet
- Hastane Hesap Numarası
- Hizmet Tarihleri
- Medicare Yararlanıcı Tanımlayıcısı (MBI) ve/veya Sağlık Sigortası Talep Numarası
Olayla ilgili soruşturma devam ederken, etkilenen kişilere, verilerinin ifşa edilmesinden kaynaklanan riskleri azaltmak amacıyla Experian tarafından 12 ay boyunca ücretsiz kredi izleme hizmeti sunuluyor.
Cl0p, hastanelere, sağlık kuruluşlarına ve ABD hükümet kuruluşlarına ait verileri sileceğini iddia etse de, çalınan verilerin karanlık web’de paylaşılmadığını veya satılmadığını garantilemek neredeyse imkansız.