QualDerm Partners 2025 veri ihlali, dermatoloji ve cilt sağlığı yönetim kuruluşunun ağında 23–24 Aralık 2025 tarihlerinde gerçekleşen yetkisiz erişim ve dosya sızıntısıdır. QualDerm 24 Aralık'ta olağandışı ağ faaliyeti fark etti, sistemleri güvenceye aldı ve üçüncü taraf siber güvenlik uzmanlarıyla soruşturma başlattı. İnceleme saldırganın hassas veri içeren dosyaları ağdan çıkardığını doğruladı.
ABD Sağlık ve İnsan Hizmetleri Bakanlığı Sivil Haklar Ofisinin güncel listesinde QualDerm Partners LLC için 3.433.965 etkilenen kişi yer alır. pwnCount ve totalRecords bu tek federal bildirim satırındaki en güncel toplamı kullanır. QualDerm çok sayıda dermatoloji uygulamasına yönetim hizmeti verdiği için kapsam farklı kuruluşların hastalarını içerir; LeakData kişisel hasta kaydı içe aktarmaz.
Olay Nasıl Doğrulandı?
QualDerm kamu açıklamasında bilgisayar ağında yetkisiz faaliyetin belirlendiğini ve erişimin 23 Aralık ile 24 Aralık 2025 arasında sürdüğünü bildirdi. Adli soruşturma, bu kısa pencere sırasında hassas bilgi içeren dosyaların dışarı çıkarıldığını saptadı. Böylece kayıt yalnızca “veri görüntülenmiş olabilir” varsayımına değil, kuruluşça doğrulanmış veri edinimine dayanır.
HHS OCR olayı Hacking/IT Incident olarak, etkilenen konumu Network Server ve kuruluş türünü Healthcare Provider olarak listeler. HIPAA Journal şirket bildirimini, Oregon düzenleyici bildirimini ve HHS kaydını birlikte inceleyerek olay takvimini, veri alanlarını ve milyonları aşan kapsamı doğruladı. Kaynakların ortak bulgusu gerçek ağ erişimi, veri sızıntısı ve hasta bilgilerinin etkilenmesidir.
İhlal ve Bildirim Takvimi Nasıldı?
Doğrulanmış erişim 23 Aralık 2025'te başladı ve QualDerm'in olağandışı faaliyeti keşfettiği 24 Aralık'ta sona erdi. breachDate erişim penceresinin başlangıcı olan 23 Aralık olarak tutulur. Kuruluş olayın ardından ağı ve bilgisayar sistemlerini güvenceye aldı, erişimin niteliğini ve kapsamını belirlemek için dış uzmanlarla çalıştı.
QualDerm dosya incelemesinin devam ettiğini ve kişileri gereksiz yere bekletmemek için bildirimleri aşamalı göndereceğini açıkladı. İlk kamuya açık sayı 174.837 Teksas sakiniydi; daha sonra Oregon ve HHS kayıtlarında 3.117.874 kişi açıklandı. HHS'nin bugün gösterdiği 3.433.965 kişi daha güncel olduğu için eski ara sayılar toplamın üzerine eklenmez.
Hangi Kişisel ve Sağlık Bilgileri Etkilendi?
Etkilenen veri türleri kişiye göre değişmek üzere ad, e-posta adresi, doğum tarihi ve ölüm tarihini içerebilir. Doktor adı ve tıbbi kayıt numarası da açıklanan kapsamdaydı. Tanı, tedavi bilgisi ve sağlık sigortası verileri, olayın kimlik bilgilerinin ötesinde korunan sağlık bilgisini de etkilediğini gösterir.
QualDerm çok küçük bir kişi alt kümesi için sürücü belgesi gibi devletçe düzenlenen kimlik belgesi bilgilerinin de etkilenmiş olabileceğini bildirdi. Kaynaklar Sosyal Güvenlik numarası, ödeme kartı, banka hesabı veya hesap parolasını doğrulanmış alanlar arasında saymıyor. Bu nedenle kayıt yalnızca yayımlanmış sınıfları kullanır ve tüm alanları bütün kişilere mal etmez.
3.433.965 Kişilik Kapsam Nasıl Yorumlanmalı?
HHS OCR açık soruşturma listesinde 22 Şubat 2026 gönderim tarihli QualDerm Partners LLC satırı güncel olarak 3.433.965 kişi gösterir. Bu değer, haberlerde yer alan 3.117.874 kişilik önceki düzenleyici toplamın güncellenmiş halidir. pwnCount ve totalRecords yalnızca en son federal değerdir; Teksas, Oregon veya eski HHS sayıları yeniden eklenmez.
QualDerm 17 eyalette 158 dermatoloji ve cilt bakımı uygulamasına hizmet verdiğini ve yılda 15 milyondan fazla hastaya ulaşan bir yapı olduğunu açıklamıştı. Ancak bu işletme ölçeği ihlal kişi sayısı değildir. LeakData 15 milyon tahmini kullanmaz, etkilenen uygulama başına alt toplam üretmez ve yalnızca HHS'nin doğrulanmış 3.433.965 kişilik bildirimini kaydeder.
Risk ve Kuruluşun Yanıtı Neydi?
QualDerm olayın açıklanması sırasında hasta verilerinin kötüye kullanıldığına ilişkin kanıt belirlemediğini bildirdi ve etkilenen kişilere ücretsiz kredi izleme ile kimlik hırsızlığı koruma hizmeti sundu. Kötüye kullanım kanıtının bulunmaması, dosyaların dışarı çıkarıldığı gerçeğini veya sonraki dolandırıcılık riskini ortadan kaldırmaz. Kuruluş veri güvenliği politika, prosedür ve protokollerini gözden geçirdiğini açıkladı.
Kamu kaynakları saldırganın kimliğini, ilk giriş yöntemini, fidye talebini veya dosya hacmini doğrulamıyor. Bu nedenle LeakData olayı belirli bir fidye yazılımı grubuna bağlamaz; kimlik avı, parola hırsızlığı veya güvenlik açığı gibi bir kök neden yazmaz. Kayıt doğrulanmış ağ erişimi, dosya sızıntısı ve açıklanan kişisel bilgi sınıflarıyla sınırlıdır.
Etkilenen Kişiler Ne Yapmalı?
Bildirim alan hastalar mektupta belirtilen dermatoloji uygulaması ve doktor ilişkisini kendi kayıtlarıyla karşılaştırmalıdır. Tıbbi açıklamalarda tanımadığı tanı, tedavi, sağlayıcı veya sigorta talebi bulunursa ilgili sağlık planı ve uygulamanın resmi gizlilik birimine bildirim yapılmalıdır. Tıbbi kayıt numarası veya kimlik belgesi isteyen mesajlar, bağlantı açılmadan bağımsız iletişim kanalıyla doğrulanmalıdır.
Devlet kimliği bilgisi etkilenen küçük grupta yer alan kişiler belgeyi düzenleyen kurumla ek koruma veya yenileme seçeneklerini görüşebilir; kredi izleme teklifinin kayıt tarihi de kontrol edilmelidir. importedRecordCount sıfırdır. LeakData ad, e-posta, doğum veya ölüm tarihi, doktor adı, tıbbi kayıt numarası, tanı, tedavi, sigorta ya da kimlik belgesi verisi depolamaz ve yayımlamaz.
