Change Healthcare kesintisi, tek bir şirkete yapılan bir saldırının, o şirketin bağlı olduğu tüm sağlık sisteminin nasıl felç olabileceğini gösteren bir olaydır. Change Healthcare, ABD’de reçete onaylarından sigorta hak talebi işlemlerine kadar sağlık ödeme akışının çok büyük bir kısmını yürüten bir aracı platformdu. 2024 başında sistemlerine sızan saldırganlar altyapıyı devre dışı bırakınca, doğrudan hedef olmayan binlerce eczane, klinik ve hastane haftalarca ödeme alamaz hale geldi.

Change Healthcare olayı, tek bir merkezi hizmet sağlayıcının çökmesinin binlerce bağımsız kurumu aynı anda işlemez kılabileceğini kanıtladı.

Saldırı Nasıl Gelişti?

Olayın kökeninde, kurum ağına elde edilen erişimle sistemlerin şifrelendiği bir fidye yazılımı saldırısı vardı. Saldırganlar yalnızca sistemleri kilitlemekle kalmadı, aynı zamanda büyük hacimde hassas sağlık verisini de dışarı sızdırdı; bu da olayı klasik bir hizmet kesintisinin ötesine, milyonlarca hastanın verisinin tehlikeye girdiği bir veri ihlaline taşıdı. Şirketin sistemleri güvenlik gerekçesiyle kapatması, kesintinin süresini ve etkisini daha da genişletti.

Tek Noktadan Yayılan Etki

Olayın sektör çapına yayılması, bu tür merkezi hizmetlerin fiilen bir kritik altyapı güvenliği meselesi olduğunu görünür kıldı. Change Healthcare, ödeme akışında öyle merkezi bir konumdaydı ki, alternatif bir yolu olmayan sağlık kuruluşları hasta bakımına devam etseler bile geri ödemelerini alamadı; küçük eczaneler nakit akışı krizine girdi. Bir hizmetin ne kadar çok kuruma dokunduğu, onun devre dışı kalmasının etkisini o kadar büyütür.

Süreklilik Planlaması Neden Kritik?

Olay, saldırıya uğramamış kurumların bile üçüncü taraf bir hizmete olan bağımlılıklarını yeniden değerlendirmesi gerektiğini gösterdi. Etkilenen kuruluşların çoğunda, ana ödeme kanalı kesildiğinde devreye girecek bir yedek süreç yoktu; oysa bir felaket kurtarma planı, yalnızca kendi sistemlerinin değil, hayati dış hizmetlerin de kesilmesi senaryosunu içermek zorundadır. Alternatif takas yolları ve manuel süreçler önceden tanımlanmadığında, kesinti anında iyileştirme çok yavaş kalır.

• Kritik dış hizmetlere olan bağımlılıkların önceden envanteri.
• Ana kanal kesildiğinde devreye girecek yedek süreçler.
• Sızıntı ihtimaline karşı veri ihlali müdahale hazırlığı.
• Tedarikçi kesintilerini kapsayan iş sürekliliği senaryoları.

Change Healthcare vakasının çıkardığı asıl ders, bir kurumun güvenliğinin kendi duvarlarında bitmediği, bağlı olduğu ekosistemin dayanıklılığıyla ölçüldüğüdür. Böyle bir olay yaşandığında sızmanın kapsamını hızla belirlemek ve etkiyi sınırlamak profesyonel bir olay müdahale disiplini gerektirir; Privia Security’nin olay inceleme ve müdahale hizmetimiz saldırının kök nedenini bulmaktan iş süreçlerini güvenle geri getirmeye kadar süreci yönetir.