AdaptHealth 2026 veri ihlali, evde sağlık ekipmanı sağlayıcısının bulut tabanlı iş uygulamalarına yetkisiz erişim sonucunda hasta verilerinin dışarı aktarıldığını ABD Menkul Kıymetler ve Borsa Komisyonu'na bildirdiği olaydır. AdaptHealth, çalınan materyalin belirli kişisel tanımlayıcı bilgiler, hastalara ait korunan sağlık bilgileri ve sigorta faturalamasıyla ilişkili saklanmış parola dosyaları içerdiğini doğruladı. Etkilenen kişi ve kayıt sayısı henüz açıklanmadığı için LeakData sayacı bilinmiyor olarak tutulur.
2 Temmuz 2026 tarihli Form 8-K, olayın birincil ve resmî kaynağıdır. MedTech Dive bildirimi inceleyerek sosyal mühendislik yoluyla üçüncü taraf yüklenici oturumunun ele geçirildiğini, hasta yönetim ve belge depolama uygulamalarına erişildiğini doğruladı. Şirket soruşturma tamamlanmadığı için hangi kişisel alanların her hasta için bulunduğunu veya dışarı aktarılan veri hacmini tek tek açıklamadı. Kayıt yalnızca resmî belgede doğrulanan ana kategorileri gösterir.
Doğrulanan Veri Türleri
AdaptHealth'in doğruladığı üç ana kategori kişisel tanımlayıcı bilgi, korunan sağlık bilgisi ve sigorta faturalamasına bağlı saklanmış parola dosyalarıdır. “Kişisel tanımlayıcı bilgi” ve “korunan sağlık bilgisi” geniş sınıflardır; şirket ad, doğum tarihi, adres, teşhis, reçete veya sigorta numarası gibi alt alanların hangilerinin etkilendiğini henüz belirtmedi. LeakData bu nedenle açıklanmayan ayrıntılı alanları varsaymaz.
Şirket etkilenen sistemlerde Sosyal Güvenlik numarası toplamadığını, banka hesabı veya ödeme kartı bilgisi saklamadığını özellikle açıkladı. Bu kayıtta SSN, kredi kartı, banka hesabı ya da ödeme verisi ihlal edilmiş sınıflar arasında gösterilmez. Parola dosyalarının sigorta faturalamasıyla ilişkili olduğu doğrulansa da dosyalardaki parolaların biçimi, şifrelenme durumu, güncelliği veya kaç hesaba ait olduğu açıklanmadı.
Saldırı Yöntemi ve Erişilen Sistemler
SEC bildirimine göre saldırı, üçüncü taraf bir yükleniciyle ilişkili kullanıcı oturumunu ele geçiren sosyal mühendislik faaliyetiyle başladı. Bu açıklama yazılım açığı sömürüsü veya tüm AdaptHealth ağının ele geçirildiği anlamına gelmez. Yetkisiz taraf belirli bulut tabanlı iş uygulamalarına ulaştı; şirket ilk erişimin e-posta, telefon, sahte oturum açma sayfası veya başka hangi sosyal mühendislik tekniğiyle sağlandığını açıklamadı.
Erişilen ortamlar arasında şirket içi hasta yönetim sistemleri, belge depolama platformları ve belirli harici elektronik sağlık kaydı portalları bulunuyordu. Bu sistem listesi, her platformdaki tüm kayıtların dışarı aktarıldığını kanıtlamaz. AdaptHealth soruşturmanın etkilenen veri kümelerinin kapsamını belirlemeye devam ettiğini söyledi. LeakData erişim alanlarını bağlam olarak kaydeder, fakat müşteri tabanını otomatik olarak ihlal sayısına dönüştürmez.
Olayın Zaman Çizelgesi
Tehdit aktörü 15 Haziran 2026'da AdaptHealth'e sistemlerden veri aldığını bildirdi. Şirket 27 Haziran'da olayın, risk altındaki verinin niteliği ve potansiyel hacmi nedeniyle önemli olduğuna karar verdi; 2 Temmuz'da Form 8-K yayımlandı. İlk yetkisiz erişimin kesin günü ve oturumun ne kadar süre kullanılabildiği kamuya açıklanmadı. LeakData'daki 15 Haziran tarihi, veri hırsızlığının şirkete bildirildiği doğrulanmış günü temsil eder.
Şirketin önemli olay değerlendirmesi, veri hacminin büyük olabileceğine işaret eder; ancak 8-K kişi, dosya veya kayıt sayısı sunmaz. “Potansiyel hacim” ifadesi kesin toplam değildir ve pwnCount üretmek için kullanılamaz. Hasta bildirimleri veya sağlık otoritesi kayıtları ileride güvenilir bir toplam açıklarsa sayı güncellenebilir; mevcut aşamada bilinmeyen değer en doğru ve ihtiyatlı gösterimdir.
AdaptHealth'in Müdahalesi
AdaptHealth saldırıyı tespit ettikten sonra ele geçirilen kullanıcı hesabını devre dışı bıraktı, ilgili kimlik bilgilerini sıfırladı ve ek erişim kontrolleri uyguladı. Olayın kontrol altına alındığını, dış adli bilişim ekipleriyle soruşturmanın sürdüğünü ve dışarı aktarılan verinin yayılma riskini azaltmaya yönelik adımlar attığını bildirdi. Bu önlemler şirketin açıkladığı somut müdahalelerdir; açıklanmayan teknik değişiklikler kayda eklenmez.
Bildirim tarihinde olay AdaptHealth'in operasyonlarında önemli bir etki yaratmamış ve hastalara hizmet verme kabiliyetini kesintiye uğratmamıştı. Şirket yine de müdahale, hukuki süreç, düzenleyici yükümlülük, bildirim, hasta etkisi ve itibar maliyetlerinin tamamını henüz belirleyemediğini söyledi. Siber sigorta bazı kayıpları karşılayabilir, ancak bu durum ihlalin veri gizliliği riskini ortadan kaldırmaz.
Hasta ve Hesap Güvenliği Riskleri
Korunan sağlık bilgisi, kişinin sağlık hizmeti ilişkisini veya tıbbi bağlamını açığa çıkarabileceği için hassastır. Sigorta faturalamasıyla ilişkili parola dosyaları ise güncel ve çözülebilir olmaları hâlinde hesap erişimi ya da dolandırıcılık riski doğurabilir. Şirket ayrıntılı alanları açıklamadığından her hastanın aynı veri türleriyle etkilenmiş olduğu varsayılmamalıdır; risk kişiye gönderilecek bildirimde belirtilen gerçek alanlara göre değerlendirilmelidir.
Bildirim alan hastalar AdaptHealth veya sigorta kuruluşu adına gelen beklenmedik fatura, portal giriş bağlantısı, parola sıfırlama ya da sağlık bilgisi doğrulama taleplerini bağımsız bir kanaldan kontrol etmelidir. Aynı veya benzer parola başka hesaplarda kullanıldıysa değiştirilmesi ve çok faktörlü kimlik doğrulamanın etkinleştirilmesi yararlıdır. SSN ve ödeme kartı verisinin etkilenen sistemlerde bulunmadığı açıklaması, diğer kimlik avı ve sağlık gizliliği risklerini tamamen ortadan kaldırmaz.
LeakData Kaydı Nasıl Yorumlanmalı?
Bu kayıttaki sıfır kişi değeri “hasta etkilenmedi” anlamına gelmez; şirketin henüz doğrulanmış toplam yayımlamadığını ifade eder. AdaptHealth'in hizmet verdiği hasta sayısı, sattığı cihaz miktarı veya iş ortaklarının müşteri tabanı ihlal kapsamı değildir. Veri sınıfları, her kayıtta tüm alanların bulunduğunu değil, resmî SEC belgesinde dışarı aktarıldığı doğrulanan ana bilgi kategorilerini gösterir.
Doğrulanmış sonuç, üçüncü taraf yüklenici oturumunun sosyal mühendislikle ele geçirilmesi sonrasında AdaptHealth'in belirli bulut uygulamaları ve elektronik sağlık kaydı portallarından PII, PHI ve sigorta faturalama parola dosyalarının çalındığıdır. Olay kontrol altına alınmış, operasyonel hizmet etkisi bildirilmemiş; kişi sayısı ve ayrıntılı alanlar soruşturma nedeniyle açık kalmıştır. LeakData kaydı bu sınırları koruyarak gerçek ihlali belgeler.
