Fransa'da Hastane, Veri İhlali Nedeniyle 500,000 Euro Ceza Aldı

Fransa'nın Saint-Étienne kentindeki Hôpital privé de la Loire, veri koruma yasalarını ihlal ettiği gerekçesiyle 500,000 Euro ceza aldı. İhlalin, 2025 yazında gerçekleştiği ve 524,867 hastanın yanı sıra 202,246 güvenilir üçüncü şahsın verilerinin açığa çıktığı belirtildi.

Hôpital privé de la Loire, Ramsay Santé sağlık grubuna bağlı genel bir hastane olarak çeşitli tıbbi hizmetler sunuyor. Hastane, 180 doktor dahil olmak üzere 650 personel çalıştırmakta ve beş klinik bölümde toplam 333 yatak kapasitesine sahip. Yıllık 60,000 hasta kabul eden hastane, geniş hizmet yelpazesi ile dikkat çekiyor.

Geçtiğimiz yıl, bir siber saldırgan hastanenin elektronik hasta kayıt sistemine erişerek 727,000'den fazla kişinin verilerini çaldı. Bu kişiler, hastanede tedavi görenler, hastaları oraya götürenler veya onlara çeşitli şekillerde yardımcı olanlardı. Saldırının ardından, Fransa'nın veri koruma otoritesi CNIL, hastanenin Genel Veri Koruma Yönetmeliği (GDPR) kapsamındaki yükümlülüklerini yerine getirmediğine dair pek çok ihlal tespit etti.

CNIL’in raporunda, hastanenin güvenlik önlemlerinin yetersiz olduğu ve çeşitli ihlallerin olduğu vurgulandı. Bu ihlallerin, GDPR'nin 32. ve 34. maddeleriyle ilgili olduğu belirtildi. Hastane, süreç boyunca bazı güvenlik güçlendirme önlemleri aldığını ifade etti.

“Marak” takma adını kullanan bir genç hacker, saldırının tek bir doktorun hesabının ihlali ile başladığını ve bu sayede hastanenin tüm iç sistemine erişim sağladığını öne sürdü. Hacker, çalınan verileri 2,000 ile 5,000 Euro arasında bir fiyata satmaya çalıştı, ancak verilerin ne satıldığı ne de yayımlandığı bildirildi.

İlk erişimden sonraki süreçte, saldırganlar geçerli kimlik bilgilerini kullanmaya başladıklarında, güvenlik önlemlerinin etkinliğinin düştüğü görüldü. Bu durum, hastanelerin siber güvenlik stratejilerini yeniden gözden geçirmesi gerektiğini ortaya koyuyor.