CPAP Medical 2024 veri ihlali, uyku apnesi ekipmanı sağlayıcısının ağ ortamına 13–21 Aralık 2024 arasında yetkisiz erişim sağlanan siber güvenlik olayıdır. CPAP Medical Supplies and Services'ın resmî çevrim içi bildirimi, etkilenen sistemlerde kimliği belirlenebilir kişisel bilgi ve korunan sağlık bilgisi bulunduğunu doğruluyor.
ABD Sağlık ve İnsan Hizmetleri Bakanlığı Sivil Haklar Ofisi kamu kaydı kuruluşu Healthcare Provider, olayı Hacking/IT Incident ve bilgi konumunu Network Server olarak listeler; etkilenen kişi sayısı 90.133'tür. LeakData hasta veya müşteri satırı içe aktarmamıştır, importedRecordCount sıfırdır ve kayıt yalnızca doğrulanmış olay metadatasını içerir.
CPAP Medical İhlali Nasıl Doğrulandı?
Birincil kaynak, CPAP Medical Supplies and Services imzalı Veri Güvenliği Olayı Bildirimidir. Belge yetkisiz ağ erişimini, adli bilişim ve belge incelemesini, erişim penceresini, bildirim başlangıcını, Sosyal Güvenlik numarası bulunan kişilere sunulan kredi izlemeyi ve kuruluşun koruyucu önerilerini doğrudan açıklar.
İkinci kaynak HHS OCR ihlal portalıdır ve 90.133 kişilik kapsam ile olay sınıflarını doğrular. Üçüncü kaynak HIPAA Journal'ın 20 Ağustos 2025 tarihli haberidir; Maine Başsavcılığına sunulan bildirime dayanarak tarihleri ve veri türlerini bağımsız biçimde aktarır. Kuruluş, kapsam, ağ erişimi ve inceleme tarihleri kaynaklar arasında uyumludur.
13–21 Aralık 2024 Arasında Ne Oldu?
Yetkisiz bir aktör CPAP Medical'ın ağ ortamına 13 Aralık'ta girdi ve erişim 21 Aralık'a kadar sürdü. Kuruluş olayı öğrendiğinde tehdidi sınırlandırdığını, iç ortamını güvene aldığını ve kişisel ya da hassas verinin etkilenip etkilenmediğini belirlemek için dış siber güvenlik uzmanlarıyla kapsamlı bir soruşturma başlattığını açıkladı.
Adli inceleme ve karmaşık manuel belge taraması sonucunda CPAP Medical, 27 Haziran 2025'te etkilenen sistemlerin kimliği belirlenebilir sağlık ve kişisel bilgi içerdiğini belirledi. 15 Ağustos'tan itibaren iletişim bilgisi bulunan kişilere bildirim gönderildi. breachDate alanı inceleme veya mektup gününü değil, doğrulanmış erişim başlangıcı olan 13 Aralık'ı kullanır.
Hangi Bilgiler Etkilendi?
HIPAA Journal'ın düzenleyici bildirime dayanan haberine göre dosyalarda ad ve soyadı, doğum tarihi, Sosyal Güvenlik numarası, mali ve banka bilgisi, tıbbi bilgi ve sağlık sigortası bilgisi bulunabiliyordu. Resmî çevrim içi bildirim de kimliği belirlenebilir kişisel ve korunan sağlık bilgisinin varlığını, ayrıca bazı dosyalarda Sosyal Güvenlik numarası bulunduğunu doğrular.
Her alanın 90.133 kişinin tamamı için geçerli olduğu açıklanmadı. Bu nedenle kayıt veri türlerini toplayarak alt grup sayısı üretmez; e-posta, parola veya ödeme kartı gibi kaynaklarda belirtilmeyen alanları eklemez. Dosyaların görüntülenmiş veya dışarı aktarılmış olabileceği bildirilse de kamuya yayımlandıkları ya da belirli bir tehdit grubuna satıldıkları doğrulanmış değildir.
90.133 Kişilik Kapsam Ne Anlama Geliyor?
pwnCount ve totalRecords alanları HHS OCR'nin güncel kamu kaydındaki 90.133 etkilenen kişi sayısını kullanır. Aynı toplam Maine Başsavcılığı bildirimine dayanan haberlerde de yer alır. Değer dosya, reçete, ekipman siparişi, sigorta talebi veya tekil veri öğesi sayısı değil, bildirim kapsamındaki kişi sayısıdır.
Jacksonville merkezli CPAP Medical, özellikle askerî aileler ile aktif görevdeki ve emekli hizmet mensuplarına uyku terapisi ürünleri ve CPAP ekipmanı sağlar. Etkilenen nüfusun hasta, müşteri, askerî statü veya aile ilişkisine göre dağılımı açıklanmadığından kayıt bu gruplar için ayrı toplamlar üretmez.
Kuruluş Hangi Önlemleri Aldı?
CPAP Medical tehdidi sınırlandırıp sistemlerini güvene aldığını, dış uzmanlarla adli soruşturma yürüttüğünü ve belge incelemesini tamamladığını bildirdi. Kuruluş kişisel bilginin güvenliğini geliştirmek için uygulamalarını ve iç kontrollerini sürekli değerlendirdiğini ve değiştirdiğini de açıkladı.
Bildirim tarihinde kişisel bilginin olay nedeniyle kötüye kullanıldığına dair kanıt bulunmadığı belirtildi. Bununla birlikte Sosyal Güvenlik numarası etkilenen kişilere ücretsiz kredi izleme sunuldu; alıcılara finansal hesapları, kredi raporlarını ve sağlık sigortası fayda açıklamalarını düzenli incelemeleri tavsiye edildi. Bilinen kötüye kullanımın olmaması gelecekteki riski ortadan kaldırmaz.
Etkilenen Kişiler Ne Yapmalı?
Bildirim alan kişiler sunulan izleme hizmetini belirtilen süre içinde etkinleştirmeli; kredi raporlarını, banka hareketlerini ve sağlık sigortası dökümlerini tanımadıkları hesap, işlem veya hizmet için kontrol etmelidir. Şüpheli bir kayıt görülürse mali kuruluş, sigortacı veya sağlık sağlayıcısıyla daha önce bilinen resmî kanal üzerinden iletişim kurulmalıdır.
Askerî topluluk bağı ve sağlık verisi hedefli kimlik avını daha inandırıcı kılabilir. CPAP Medical, bir askerî yardım programı, banka ya da sigortacı adına gelen beklenmedik mesajlardaki bağlantılar doğrudan açılmamalı; iletişim resmî site veya doğrulanmış numaradan başlatılmalıdır. LeakData çalınan kişisel veriyi barındırmaz, dağıtmaz veya aratmaz.
