Aesto'yu hiç duymadın. Ama sosyal güvenlik numaran zaten ondaydı
Hastaların çoğunun adını bile bilmediği bir şirket, bu hafta ABD sağlık düzenleyicilerine 9,5 milyondan fazla kişinin verisinin sızdırıldığını bildirdi. Bir hastane değil. Dosyaları hastaneler arasında taşıyan şirket.
Aesto adlı, Alabama'nın Birmingham kentinde bulunan bir sağlık verisi şirketi, bu hafta federal düzenleyicilere geçen aralık ayında yaşanan bir siber saldırıda 9,5 milyondan fazla kişinin hassas bilgilerinin sızdırıldığını bildirdi. Bu insanların neredeyse hiçbiri Aesto ile iş yapmayı seçmedi, hatta şirketin var olduğunu bile bilmiyordu.
Aesto'nun asıl işi şu: teknolojisini güncelleyen, elektronik sağlık kaydı sağlayıcısını değiştiren ya da başka bir şirket tarafından satın alınan kurumlar için tıbbi kayıtları taşımak ve arşivlemek. Dosyan, imzaladığın formda adı hiç geçmeyen bir yükleniciye kopyalanıyor. Şirketin haziran ayındaki açıklamasına göre, hackerlar 2-18 Aralık tarihleri arasında Aesto'nun Amazon Web Services altyapısının içindeydi ve müşterilerinin hastalarına ait bilgileri aldı. Aesto bu müşterilerini haziranda uyardı. Bu haftaya kadar paylaşmadığı şey, olayın büyüklüğüydü.
Alınanların listesi bu haberi önemli kılan şey: isimler, sosyal güvenlik numaraları, tıbbi bilgiler, sürücü belgesi numaraları, banka hesap numaraları, sağlık sigortası verileri ve daha fazlası. Bu bir şifre sızıntısı değil. Bu, üstüne bir teşhis eklenmiş komple bir kimlik.
Bir kredi kartı bir hafta içinde yeniden basılır. Sosyal güvenlik numarası ve tıbbi geçmiş basılamaz.
Ve saldırının şekli, bu rakamların neden hep bu kadar büyük çıktığını açıklıyor. Bu tek olaydan en az 30 sağlık kuruluşu etkilendi, Aesto da müşterileri adına birden fazla eyalette ihlal bildirimi yaptı. Arka ofisteki bir tedarikçiye yapılan tek bir sızma, aynı anda 30 ön kapıya birden ulaştı. Bu, tam olarak tasarlandığı gibi çalışan bir iş modeli — sadece tersten işliyor.
Bu tek seferlik bir olay değil. Baylor Genetics da bu hafta federal düzenleyicilere, haziran ayında yaşanan bir olayda 2,8 milyondan fazla kişinin tıbbi test bilgisinin ve laboratuvar sonucunun çalındığını bildirdi. Elektronik sağlık kayıtları şirketi CareCloud'daki mart ayı olayında 3,7 milyon kişi daha etkilendi. McKesson, Nutex ve Paylogix, son iki hafta içinde hasta ve müşteri verilerini içeren saldırılar duyurdu. Park Dental Partners ise salı gecesi SEC'e geçen hafta yaşanan bir saldırıyı, 'hasta verilerine olası erişim' gerekçesiyle bildirdi.
İki grup var, ve ikisi de hiçbir şey yapmadı. Birincisi: kliniğin kayıt sistemini değiştirdiği ya da daha büyük bir grup tarafından satın alındığı herkes — dosyan işte o zaman Aesto gibi bir şirkete teslim ediliyor. Sana hiç sorulmadı. İkincisi, ve insanların küçümsediği asıl grup bu: ilk kirasını ödeyecek daireyi, araba kredisini ya da sadece bir telefon hattını almak üzere olan yirmili ve otuzlu yaşlardaki herkes. Çalınan bir sosyal güvenlik numarası ve sürücü belgesi numarası, birinin senin adına kredi açması için gereken tam iki belge. Burada hedef olmak için birikimin olması gerekmiyor. Bir kimliğin olması gerekiyor, ve zaten var. Aesto'nun Texas ve Kaliforniya'da müşterileri adına bildirim yaptığı Together Women's Health'in hastaları da bu dosyanın içinde.
Hâlâ açık iki nokta var, ve kaynak ikisi hakkında da net: hiçbir hacker grubu saldırıyı üstlenmedi, Aesto da yorum taleplerine yanıt vermedi. Eyalet ihlal bildirimlerini takip edin — Aesto bunları müşterileri adına dosyalıyor, bu yüzden etkilenen 30 sağlık kuruluşundan daha fazlası isim isim ortaya çıkabilir. Hiçbiri için bir zaman çizelgesi verilmedi.
9,5 milyon kişinin kimlik dosyası bir yerde duruyor, ve kimse onları üstlenmedi. Övünen bir grup yok, kamuya açıklanmış bir fidye notu yok, bir açıklama yok. Kimde olduğunu ya da ne yapmayı planladıklarını bilmiyoruz. Rahatsız edici olan hırsızlık değil — etrafındaki bu sessizlik.
Kaynaklar: The Record (Recorded Future News), 2 Eylül 2026, haber: Jonathan Greig. Aesto'nun haziran ayındaki açıklamasına ve ABD Sağlık ve İnsani Hizmetler Bakanlığı'na yaptığı bildirime dayanmaktadır.
Hastaların varlığından bile haberdar olmadığı bir şirket sosyal güvenlik numaralarını, teşhislerini ve banka hesaplarını elinde tutuyordu — ve bunları 9,5 milyon kişi için kaybetti, üstelik bunu saldırıdan dokuz ay sonra öğrendik.
THE TELL’in yapay zekâ haber merkezi tarafından yazıldı. nasıl çalışıyoruz · düzeltmeler