Güney Afrika’nın büyük patoloji laboratuvarı sağlayıcılarından Ampath Laboratories, 2 Ekim 2026’da tespit edilen bir siber güvenlik olayını doğruladı. ByteToBreach adlı tehdit aktörü, şirketin veritabanlarından 80 milyondan fazla kayıt çaldığını öne sürerken Ampath, bu sayının etkilenen kişi sayısını yansıtmadığı konusunda uyarıda bulundu. Şirket, bazı kişisel ve idari bilgilerin yetkisiz erişime maruz kalmış olabileceğini kabul ediyor ancak hasta sağlık kayıtlarının, teşhislerin, patoloji testi sonuçlarının veya bankacılık bilgilerinin ele geçirildiğine dair şu ana kadar kanıt bulunmadığını belirtiyor. Soruşturma devam ediyor.

Ampath Siber Güvenlik Olayını Doğruladı

Güney Afrika’nın önde gelen patoloji hizmeti sağlayıcılarından Ampath Laboratories, bilgi teknolojisi altyapısının bir bölümünü etkileyen bir siber güvenlik olayı yaşandığını açıkladı.

Şirketin 14 Ekim 2026 tarihli açıklamasına göre olay 2 Ekim’de tespit edildi ve ardından müdahale ile kontrol altına alma çalışmaları başlatıldı. Ampath, olayın kapsamını ve etkisini belirlemek amacıyla bağımsız siber adli bilişim uzmanları ve hukuk danışmanlarıyla birlikte inceleme yürütüyor. Şirket, kişisel bilgilere yetkisiz kişiler tarafından erişilmiş veya bu bilgilerin edinilmiş olabileceğine ilişkin makul gerekçeler bulunduğunu belirterek potansiyel olarak etkilenen kişilere yönelik bildirim yayımladı. Ayrıca Güney Afrika Bilgi Düzenleyicisine (Information Regulator), Kişisel Bilgilerin Korunması Yasası’nın (POPIA) 22. maddesi kapsamında bildirimde bulunduğunu açıkladı.

Ampath, laboratuvarlarının, patoloji hizmetlerinin ve hasta bakım faaliyetlerinin çalışmaya devam ettiğini, olay nedeniyle hizmet sunumunda kesinti yaşanmadığını bildirdi.

ByteToBreach 80 Milyondan Fazla Kayıt Çaldığını İddia Ediyor

Tehdit aktörü ByteToBreach, 13 Ekim’de bir hacker forumunda yayımladığı gönderide Ampath sistemlerini ele geçirdiğini ve verileri dışarı çıkardığını iddia etti. Aktör, saldırıya ilişkin olduğunu öne sürdüğü ekran görüntülerini de paylaştı.

ByteToBreach’in iddiasına göre şirketin yaklaşık 375 veritabanından 10’u tamamen kopyalandı. Söz konusu veritabanlarının çalışan ve insan kaynakları bilgilerini, hasta verilerini, finansal bilgileri ve LDAP ile sağlık hizmeti sağlayıcılarına ilişkin bazı kayıtları içerdiği öne sürüldü. Aktör ayrıca 2000’li yılların ortalarından günümüze uzanan kayıtların bulunduğunu ve laboratuvarın kabul tablosunda tek başına 80 milyondan fazla kayıt yer aldığını iddia etti. ByteToBreach, Ampath ile fidye ödemesi konusunda görüşmeler yaptığını da ileri sürdü. Ancak kendi açıklamasında görüşmelerin kısa sürdüğünü belirtmekle yetindi; talep edilen miktar veya şirketin yanıtı hakkında doğrulanabilir ayrıntı sunmadı.

Bu iddialar bağımsız olarak doğrulanmış değil. Veritabanlarının sayısı, kopyalandığı öne sürülen kayıtların kapsamı ve saldırganın gerçekten hangi verilere sahip olduğu, devam eden adli bilişim incelemesinin sonuçlarıyla netleşebilir.

Ampath: 80 Milyon Kayıt, 80 Milyon Kişi Anlamına Gelmiyor

Ampath, saldırganın öne sürdüğü 80 milyon kayıt sayısının kamuoyunda 80 milyon ayrı hastanın bilgilerinin çalındığı şeklinde yorumlanmasına karşı çıktı.

Şirketin açıklamasına göre bu sayı, benzersiz kişileri değil, veritabanlarındaki kayıtları veya satırları ifade ediyor olabilir. Sağlık hizmetlerinde tek bir kişi için yıllar boyunca gerçekleştirilen kayıt işlemleri, hesap güncellemeleri, idari işlemler ve talepler nedeniyle birden fazla veri kaydı oluşturulabilir. Bu nedenle, bir veritabanında 80 milyon satır bulunması, 80 milyon farklı kişinin etkilendiğini göstermez. Ampath, dolaşımdaki sayının potansiyel olarak etkilenen kişi sayısını önemli ölçüde abarttığını düşündüğünü belirtti. Bununla birlikte şirket, gerçekte kaç kişinin etkilenmiş olabileceğine ilişkin kesin bir sayı açıklamadı.

Hangi Kişisel Bilgiler Etkilenmiş Olabilir?

Ampath’in potansiyel olarak etkilenen kişilere yönelik bildiriminde, yetkisiz erişime maruz kalmış olabilecek kişisel bilgiler arasında şu veriler sıralanıyor:

• Ad ve soyadı
• Kimlik numarası
• Doğum tarihi, yaş ve cinsiyet
• Dil bilgisi
• Fiziksel adres
• E-posta adresi ve cep telefonu numarası
• Sağlık sigortası veya sağlık yardım planına ilişkin bilgiler; kurum adı, üyelik numarası ve plan seçeneği
• Ödeyen kişinin adı, kurum içi ödeme referans numarası, ödeme tutarı ve işlem tarihi ile saati gibi ödeme bağlantılı bilgiler

Şirket, etkilenen verilerin kişiden kişiye ve kayıttan kayda değişebileceğini, her kaydın bütün alanları içermediğini belirtiyor.

Burada önemli bir ayrım var: Ödeme bağlantılı bilgilerin listelenmesi, banka hesap bilgilerinin çalındığı anlamına gelmiyor. Ampath, şu ana kadar bankacılık bilgilerinin ele geçirildiğine dair kanıt bulunmadığını söylüyor. Şirketin mevcut değerlendirmesine göre etkilenmiş olabilecek bilgiler, ağırlıklı olarak demografik ve idari verilerle sınırlı görünüyor. Ancak bu değerlendirme, soruşturma sürdüğü için henüz nihai sonuç olarak ele alınmamalı.

Sağlık Kayıtları ve Test Sonuçlarına İlişkin Kanıt Bulunmadığı Açıklandı

Ampath, açıklamasında hasta tıbbi kayıtlarının, sağlık teşhislerinin, patoloji testi sonuçlarının veya bankacılık bilgilerinin ele geçirildiğine dair bugüne kadar kanıt bulunmadığını vurguladı.

Bu açıklama, hiçbir verinin etkilenmediği anlamına gelmiyor. Şirket, bazı kişisel ve idari bilgilere yetkisiz kişilerce erişilmiş veya bu bilgilerin edinilmiş olabileceğini kabul ediyor. Bununla birlikte, saldırganın 80 milyon kayıt çalındığı yönündeki iddiası ile Ampath’in mevcut adli bilişim bulguları arasında henüz tam olarak doğrulanmış bir tablo bulunmuyor.

Dolayısıyla mevcut durumda iki ayrı husus söz konusu: Bir siber güvenlik olayının yaşandığı doğrulandı ve kişisel bilgiler etkilenmiş olabilir. Ancak saldırganın açıkladığı veri hacmi ve bu verilerin içeriği bağımsız biçimde doğrulanmış değil.

Ampath Hangi Güvenlik Önlemlerini Aldı?

Şirket, olayın tespit edilmesinin ardından müdahale ve iyileştirme çalışmaları başlattığını açıkladı. Bildirilen önlemler arasında şunlar yer alıyor:

• Kötü amaçlı IP adreslerinin engellenmesi
• Etkilenen sistemlere erişimin kısıtlanması
• Ek uç nokta güvenlik kontrollerinin uygulanması
• Yetkisiz dosyaların kaldırılması
• Açığa çıkmış hesap ve kimlik bilgilerinin devre dışı bırakılması
• Etkilenen sistemlerin temiz yedeklerden geri yüklenmesi
• Belirlenen güvenlik açıklarının giderilmesi
• Uygulama ve erişim kontrollerinin güçlendirilmesi
• Güvenlik testleri ve zafiyet taramalarının gerçekleştirilmesi

Ampath, mevcut kanıtlarda devam eden yetkisiz erişim belirtisi bulunmadığını da bildirdi. Bununla birlikte adli bilişim uzmanlarının kanıtları incelemeye ve sistemleri izlemeye devam ettiği belirtiliyor.

Çalındığı İddia Edilen Veriler Dolandırıcılık İçin Kullanılabilir mi?

Ampath, potansiyel olarak etkilenen kişilerin sosyal mühendislik, kimliğe bürünme, kimlik avı ve e-posta hesaplarının ele geçirilmesi gibi girişimlere karşı dikkatli olması gerektiğini belirtti.

Ad, kimlik numarası, doğum tarihi, telefon numarası ve sağlık yardımı üyelik bilgileri gibi veriler, saldırganların kişiye özel ve inandırıcı mesajlar hazırlamasını kolaylaştırabilir. Örneğin, gerçek bir sağlık hizmeti sağlayıcısından geliyormuş gibi görünen bir mesajda üyelik veya ödeme işlemi bahanesiyle kullanıcıdan ek bilgi istenebilir.

Şirket, beklenmedik iletişimlere karşı dikkatli olunmasını ve özellikle banka veya finansal bilgiler talep eden mesajların sorgulanmasını tavsiye ediyor. Ampath verilerine sahip olduğunu iddia eden kişilerle iletişime geçilmemesi, ödeme yapılmaması ve bu kişilerin talimatlarının izlenmemesi yönünde de uyarıda bulunuyor.

Sağlık Sektörü İçin Daha Geniş Bir Veri Güvenliği Sorunu

Ampath olayı, sağlık sektöründe tutulan kişisel ve idari verilerin siber saldırganlar açısından taşıdığı değeri yeniden gündeme getiriyor. Patoloji laboratuvarları, hastaneler ve diğer sağlık kuruluşları yalnızca tıbbi sonuçları değil, aynı zamanda kimlik, iletişim, üyelik ve ödeme işlemlerine ilişkin bilgileri de işliyor. Benzer olaylar, sağlık hizmeti sağlayıcılarının sistemlerine yönelik saldırıların yalnızca hasta bakımını kesintiye uğratmakla kalmayıp kişisel bilgilerin gizliliğini de etkileyebileceğini gösteriyor.

2024 yılında Birleşik Krallık’taki patoloji hizmeti sağlayıcısı Synnovis, Qilin fidye yazılımı grubuyla ilişkilendirilen bir saldırıdan etkilenmiş ve olay sağlık hizmetlerinde ciddi aksamalara yol açmıştı. Aynı yıl ABD merkezli Summit Pathology Labs de Medusa fidye yazılımı grubunun saldırı iddiasıyla gündeme gelmişti.

Bu örnekler, sağlık kuruluşlarının hem hizmet sürekliliğini hem de hassas verileri koruyacak güvenlik önlemlerine ihtiyaç duyduğunu ortaya koyuyor. Ancak farklı saldırıların yöntemleri ve sonuçları birbirinden ayrılmalı; Ampath olayının kapsamı hakkında nihai değerlendirme için soruşturma sonuçları beklenmeli.

Soruşturma Devam Ediyor

Ampath Laboratories, olayın kapsamını belirlemek için bağımsız uzmanlarla çalışmayı sürdürdüğünü ve ilgili düzenleyici kurumlarla iş birliği yaptığını belirtiyor.

Şu ana kadar kamuoyuna açıklanan bilgiler, bir siber güvenlik olayının yaşandığını ve bazı kişisel bilgilerin etkilenmiş olabileceğini ortaya koyuyor. Buna karşılık, 80 milyon farklı hastanın etkilendiği veya saldırganın bu sayıda kişiye ait tüm kayıtları ele geçirdiği doğrulanmış değil. Soruşturmanın tamamlanmasıyla birlikte etkilenen kişi sayısının, dışarı çıkarılan verilerin kapsamının ve saldırının ilk erişim yönteminin daha net biçimde ortaya konması bekleniyor.

Kaynaklar

• Attackers claim to have stolen 80 million South African patient records in massive Ampath Laboratories data breach — MyBroadband
• Pathology Lab Confirms Hack, But Disputes Data Theft Claims — BankInfoSecurity
• Ampath finds no evidence that test results were taken in breach — TechCentral
• Ampath confirms hack, but disputes theft of 80m patient records — IT-Online
• Ampath cautions about ‘overstated numbers’ as cybersecurity incident probe continues — Novus Press Bulletin
• ByteToBreach: A Deep Dive Into a Persistent Data Leak Operator — KELA