Saint Anthony Hospital 2025 veri ihlali, Chicago'daki hastaneye ait iki çalışan e-posta hesabı ve bağlantılı yapılandırılmamış dosyaların yetkisiz erişime uğramasıyla gerçekleşti. Kurumun resmi bildirimi, belirli dosya ve klasörlerin 27 Şubat 2025 dolayında yetkisiz bir tarafça erişildiğini veya edinildiğini doğruluyor. ABD Sağlık ve İnsan Hizmetleri Bakanlığı Sivil Haklar Ofisinin güncel kaydı olayın 146.108 kişiyi etkilediğini gösteriyor.
Saint Anthony, elektronik sağlık kayıt sisteminin olaydan etkilenmediğini, ancak incelenen veride hastalara ait kişisel bilgi ile korunan sağlık bilgisi bulunduğunu açıkladı. Mart 2026 bildirimi belirli alanları tek tek sıralamadığı için LeakData dataClasses bölümünü bu iki doğrulanmış üst düzey kategoriyle sınırlar. Sisteme hiçbir hasta satırı aktarılmamıştır ve importedRecordCount sıfırdır.
Saint Anthony Hospital İhlali Nasıl Doğrulandı?
Birincil kanıt hastanenin kendi alan adında yayımladığı Veri Güvenliği Olayı Bildirimi'dir. Açıklama, yetkisiz bir tarafın iki çalışan e-posta hesabına erişmiş olabileceğini ve olayın ağ içindeki bazı yapılandırılmamış dosyalara yetkisiz erişim veya edinimle sonuçlandığını belirtir. Kurum sistemleri kontrol altına aldığını ve üçüncü taraf siber güvenlik uzmanlarıyla inceleme başlattığını da doğrular.
HHS OCR olayı Healthcare Provider türünde, Hacking/IT Incident olarak ve etkilenen bilgi konumu Email şeklinde listeler. Federal satırdaki 146.108 kişilik toplam, kurumun açıklamasındaki hasta kişisel bilgisi ve sağlık bilgisi bulgusunu düzenleyici kayıtla destekler. HIPAA Journal bu iki kaynağı karşılaştırarak erişim tarihini, incelemenin bitişini, bildirim zamanını ve güncel kapsamı ayrıca teyit eder.
Olay ve Bildirim Takvimi Nasıldı?
Resmi bildirime göre yapılandırılmamış dosya ve klasörler 27 Şubat 2025 dolayında erişildi veya edinildi. breachDate alanı, kurumun somut olarak açıkladığı bu tarih olan 27 Şubat'ı kullanır. Kamuya açık metin saldırganın hesaplara ilk giriş gününü, erişimin toplam süresini ya da hastanenin olayı ilk kez hangi gün tespit ettiğini açıklamaz; bu nedenle bilinmeyen bir başlangıç tarihi üretilmez.
Saint Anthony, etkilenen veriyi ve kişileri belirlemek amacıyla uzmanlarla yürüttüğü dosya incelemesini yaklaşık 13 Şubat 2026'da tamamladı. Kurum bundan sonra web sitesinde ikame bildirim yayımladı ve 6 Mart 2026'da potansiyel olarak etkilenen kişilere mektup göndermeye başladı. Yaklaşık bir yıllık aralık saldırının sürdüğü süreyi değil, dosya inceleme ve kişi eşleştirme sürecini yansıtır.
Hangi Bilgiler Etkilendi?
Mart 2026 tarihli resmi açıklama, etkilenen yapılandırılmamış verinin hasta kişisel bilgisi ve kişisel sağlık bilgisi içerdiğini söyler. Bildirim ad, adres, doğum tarihi, Sosyal Güvenlik numarası, tanı, reçete veya hesap numarası gibi daha ayrıntılı alanları bu olay için tek tek belirtmez. Bu nedenle dataClasses yalnızca Patient personal information ve Korunan Sağlık Bilgileri değerlerini taşır.
Hastanenin daha eski bir kamu bildiriminde ayrıntılı veri alanları yer almış olsa da HHS portalında farklı tarihler ve farklı kişi sayılarıyla görünen olayları otomatik olarak birleştirmek güvenilir değildir. Bu kayıt 146.108 kişilik Mart 2026 bildirimine dayanır ve önceki olayın alan listesini yeni kapsama kopyalamaz. Her etkilenen kişide aynı tür bilginin bulunduğu da varsayılmaz.
Elektronik Sağlık Kayıtları Etkilendi mi?
Saint Anthony'nin adli incelemesi elektronik sağlık kayıt sisteminin bu olaydan etkilenmediğini belirledi. Bu ifade olayın sağlık verisi içermediği anlamına gelmez: e-posta sistemiyle bağlantılı yapılandırılmamış dosyalarda hasta kişisel ve korunan sağlık bilgisi bulunmuştur. Ayrım, merkezi elektronik sağlık kaydı platformu ile e-posta veya ağ dosyalarında saklanan belgelerin aynı kaynak olmadığını gösterir.
LeakData bu nedenle etkilenen sistemi Email olarak tanımlar ve olayın tüm klinik sistemi ele geçirdiği yönünde bir çıkarım yapmaz. Yapılandırılmamış dosyalar yazışma ekleri, taranmış belgeler veya serbest biçimli kayıtlar barındırabilir; ancak kaynaklar bunların kesin biçimini açıklamadığından içerik türleri genişletilmez. Doğrulanmış maruziyet, açıklanan iki kategoriyle sınırlı tutulur.
146.108 Kişilik Sayı Nasıl Yorumlanmalı?
pwnCount ve totalRecords alanlarındaki 146.108 değeri HHS OCR'nin güncel kamu kaydından alınmıştır. Bu sayı federal makama bildirilen toplam etkilenen kişi kapsamıdır; erişilen dosya sayısını, e-posta hesabı sayısını veya benzersiz veri alanlarının sayısını ifade etmez. İki çalışan hesabı olayın giriş yüzeyidir ve mağdur sayısıyla karıştırılmamalıdır.
HHS portalında Saint Anthony adına 2025'te daha küçük kapsamlı başka bir e-posta olayı da bulunduğundan mükerrerlik kontrolü yalnızca kuruluş adına göre yapılmadı. Bu kayıt 27 Şubat erişim tarihi, 6 Mart 2026 bildirimi ve 146.108 kişilik kapsamın birlikte eşleşmesine dayanır. Ayrı federal satırlar toplanmaz; aynı kişinin iki olayda bulunabileceğine dair bilinmeyen örtüşme de hesaplanmaz.
Etkilenen Kişiler Ne Yapmalı?
Hastane bildirim tarihinde kötüye kullanım, kimlik hırsızlığı veya dolandırıcılığa ilişkin kanıt bilmediğini söyledi. Bununla birlikte etkilenen kişilere mali hesap özetlerini, kredi raporlarını ve sağlık sigortası fayda açıklamalarını düzenli olarak incelemeleri tavsiye edildi. Tanınmayan hizmet, talep veya ödeme görülürse ilgili sağlık kuruluşu ya da sigortacı bilinen resmi kanal üzerinden aranmalıdır.
Saint Anthony adına gelen beklenmedik bağlantılar, ödeme talepleri ve kimlik doğrulama mesajları özellikle dikkatle kontrol edilmelidir; olay bilgisi hedefli oltalama için bağlam sağlayabilir. Bildirim mektubu alan kişiler mektuptaki kişisel kapsamı ve resmi iletişim numarasını esas almalıdır. LeakData çalınmış hasta dosyalarını yayımlamaz veya aratmaz; yalnızca doğrulanmış olay metadatasını, kaynaklarını ve güvenli takip önerilerini sunar.
