PJ&A (Perry Johnson & Associates), Mart 2023’teki bir siber saldırının neredeyse dokuz milyon hastanın kişisel bilgilerinin açığa çıktığı konusunda uyarıyor.
PJ&A, Amerika Birleşik Devletleri’ndeki sağlık kuruluşlarına tıbbi transkripsiyon hizmetleri sunmaktadır.
Şirket, tehdit aktörlerinin ağlarını ihlal ettiğini ve 27 Mart ile 2 Mayıs 2023 tarihleri arasında erişime sahip olduklarını söyledi. Araştırma, aşağıdaki bilgilerin tehdit aktörlerinin eline geçtiğini ortaya çıkardı:
- Ad Soyad
- Doğum tarihi
- Tıbbi kayıt numarası
- Hastane hesap numarası
- Giriş teşhisi
- Hizmet tarihi ve saati
- Sosyal Güvenlik numaraları (SSN’ler)
- Sigorta bilgisi
- Tıbbi transkripsiyon dosyaları (laboratuvar ve teşhis test sonuçları)
- İlaç ayrıntıları
- Tedavi tesisi ve sağlık hizmeti sağlayıcısı adları
PJ&A, etkilenen bireyleri hassas sağlık bilgilerinin ele geçirildiği konusunda uyarmak için 31 Ekim 2023’te veri ihlali bildirimleri göndermeye başladı.
Kaynak: BleepingComputer
Her bir kişinin maruz kaldığı veriler, sağlık hizmetlerine hangi bilgileri sağladıklarına ve aldıkları tedavi türüne bağlı olarak değişmektedir.
Yetkisiz tarafın eriştiği bilgiler finansal bilgileri veya hesap kimlik bilgilerini içermez.
Bu siber olaydan etkilenen kişilerin tam sayısı, PJ&A ilgili bilgileri ABD Sağlık ve İnsani Hizmetler Bakanlığı Sivil Haklar Dairesi’nin ihlal portalına gönderene kadar bilinmiyordu; bu portal şu anda sayının 8.952.212 hasta olduğunu doğruluyor.
Daha önce Chicago’nun en büyük sağlık hizmeti sağlayıcısı Cook County Health (CCH), PJ&A olayında 1,2 milyon hastaya tıbbi kayıtlarının ihlal edildiğini bildirmiş ve bunun sonucunda satıcıyla ilişkisini sonlandıracağını açıklamıştı.
Dün, New York’un en büyük sağlık hizmeti sağlayıcısı Northwell Health, PJ&A ağının ihlali nedeniyle dolaylı bir veri ihlaline maruz kaldığını duyurdu. Bildirimde Northwell verilerinin 7 Nisan ile 19 Nisan tarihleri arasında çalındığı belirtiliyor.
Bu olaydan Northwell Health’in kliniklerinde bakım alan ve hassas bilgileri açığa çıkan etkilenen kişilerin sayısı 3,8 milyonu aştı.
Bu, tıbbi verileri diğer sağlık hizmeti sağlayıcıları aracılığıyla ifşa edilen dört milyon kişinin henüz bilgilendirilmediği anlamına geliyor.
Bleeping Computer, saldırıyla ilgili daha fazla soru sormak için PJ&A ile iletişime geçti ancak henüz bir yorum gelmedi.