Savaş kavramı tarih boyunca kara, hava, deniz ve uzay gibi fiziksel alanlar üzerinden tanımlanmış olsa da, günümüzde bu tanıma kritik bir boyut daha eklenmiştir: siber alan. Devletler, organize suç grupları ve ileri seviye tehdit aktörleri (APT) arasında gerçekleşen siber çatışmalar, artık süreklilik arz eden, sınırları belirsiz ve çoğu zaman görünmeyen bir savaş alanı yaratmaktadır. Bu yeni savaş ortamında hedef alınan sektörler arasında ise sağlık sektörü, barındırdığı kritik veriler ve operasyonel hassasiyeti nedeniyle en öncelikli hedeflerden biri haline gelmiştir.


Sağlık sistemleri; hasta kayıtları, teşhis verileri, medikal cihaz altyapıları ve kritik operasyonel süreçleri ile yüksek değerli ve aynı zamanda kırılgan bir dijital ekosistem sunmaktadır. Bu durum, siber saldırganlar açısından hem finansal kazanç (fidye yazılımları, veri satışı) hem de stratejik etki (hizmet kesintisi, kritik altyapı sabotajı) açısından cazip bir fırsat alanı oluşturmaktadır. Özellikle son yıllarda hastaneleri ve sağlık kuruluşlarını hedef alan saldırılarda gözlemlenen artış, bu sektörün yalnızca veri güvenliği değil, doğrudan insan hayatı ile ilişkili bir risk yüzeyi barındırdığını açıkça ortaya koymaktadır. Nitekim bazı vakalarda, siber saldırılar nedeniyle sağlık hizmetlerinin aksaması, tedavi süreçlerinin kesintiye uğraması ve hatta ölümle sonuçlanan olaylar raporlanmıştır.


Bu bağlamda, sağlık sektörüne yönelik tehditlerin yalnızca teknik bir güvenlik problemi olarak değil, aynı zamanda operasyonel süreklilik ve hasta güvenliği perspektifinden ele alınması gerekmektedir. Siber tehdit aktörlerinin kullandığı taktik, teknik ve prosedürlerin anlaşılması; geçmiş saldırıların analiz edilmesi ve bu analizlerden elde edilen çıkarımların savunma mekanizmalarına entegre edilmesi, proaktif bir siber güvenlik yaklaşımının temelini oluşturmaktadır.

Siber Serum dergisi kapsamında hazırlanan bu çalışmada, sağlık sektörünü hedef alan siber saldırgan gruplar detaylı bir şekilde incelenecek; bu grupların motivasyonları, saldırı yöntemleri ve öne çıkan operasyonları analiz edilecektir. Amaç, geçmiş vakalardan elde edilen teknik ve operasyonel içgörüler doğrultusunda, sağlık kuruluşlarının siber savunma kapasitelerini güçlendirmeye katkı sağlamaktır.


Saldırganların teknik, taktik ve prosedürlerini bir çerçeveye oturtan Mitre Attack Framework incelediğimizde saldırgan grupların sağlık sektörlerini sıklıkla hedef aldığını söyleyebiliriz. 


MITRE ATT&CK Groups [1] sayfası incelendiğinde, oldukça yüksek sayıda saldırgan grubun faaliyet gösterdiği görülmektedir. Dikkat çeken önemli bir nokta, bu grupların yalnızca sağlık kuruluşlarını değil, aynı zamanda farklı sektörlerdeki kurumları da hedef alabilmesidir. Sağlık sektörüne yönelik saldırılarda ise risk yalnızca doğrudan hastane veya sağlık kuruluşlarıyla sınırlı kalmayıp; alt yükleniciler, tedarikçiler ve üst hizmet sağlayıcılar üzerinden de genişleyebilmektedir. Bu durum, saldırganların sağlık ekosistemine dolaylı yollarla sızma ihtimalini artırmaktadır. Güncel MITRE ATT&CK verilerine göre, toplam 176 bilinen saldırgan grup içerisinde 17’sinin sağlık sektörünü hedef aldığı tespit edilmiştir. 


Black Kite’ın Araştırma İstihbarat Ekibi (BRITE) verilerine göre sağlık sektörü, imalat ve profesyonel hizmetlerin ardından en çok hedef alınan üçüncü sektör konumundadır. 2024 yılında sektöre yönelik fidye yazılımı saldırılarında belirgin bir artış gözlemlenmiştir. 2023’ün ilk üç çeyreğinde sağlık sektörü en çok hedef alınan 6. veya 7. sırada yer alırken, yılın dördüncü çeyreğinde yaşanan keskin artışla üçüncü sıraya yükselmiş ve bu konumunu sonraki dönemde de korumuştur. [2]


Bu durumun ülkemiz için de geçerli olup olmadığına bakıldığında, güvenlik ihlali yaşayan kurumların KVKK kapsamında bildirim yapma zorunluluğu önemli bir gösterge sunmaktadır. KVKK’nın resmi verileri incelendiğinde [3], son yıllarda sağlık ve medikal sektörde faaliyet gösteren kuruluşların ihlal bildirimlerinde artış olduğu görülmektedir. Bu eğilim, siber saldırganların sağlık sektörünü giderek daha fazla hedef aldığını ve saldırı yoğunluğunun ivmelenerek arttığını ortaya koymaktadır. Hatta güncel olarak bildirim adresine baktığımızda en son 1 Nisan 2026 bir sağlık sektörünün hedef alındığının duyurusunu görebiliriz. Burada dikkat çeken durum kurumun İhlal kapsamında etkilenen veriler arasında kimlik ve iletişim bilgilerinin yanı sıra bazı sağlık verilerinin de bulunabileceği ifade edilmiştir.


8 Kasım 2024 yılında, BM Haberler’de yayımlanan [4] sağlık sektörüne yönelik siber saldırıların küresel ölçekte artışına ve bunun doğrudan insan hayatını etkileyen sonuçlarına dair Birleşmiş Milletler Dünya Sağlık Örgütü (WHO) Başkanı açıklamamsıda dikkat çekici.


Özellikle hastaneler ve sağlık kuruluşlarının kritik altyapı olarak giderek daha fazla hedef alındığı vurgulanıyor. Siber saldırılar yalnızca veri ihlalleriyle sınırlı kalmıyor; aynı zamanda sağlık hizmetlerinin kesintiye uğramasına, ameliyatların ertelenmesine ve acil müdahale süreçlerinin aksamasına yol açabiliyor. Bu durum, siber güvenliği teknik bir mesele olmaktan çıkarıp doğrudan hasta güvenliği ve yaşam hakkı ile ilişkili bir konu haline getiriyor.

 

Sağlık sistemlerini hedef alan siber saldırgan gruplarını baktığımız belli başlı atak vektörlerini kullanmaktadır. Bu atak yöntemleri;



1. Kimlik Avı Saldırısı (Phishing Attack):   Sağlık sektöründe oltalama (phishing) saldırıları, hâlâ en yaygın ve en tehlikeli tehditler arasında yer almaktadır. HIMSS (Healthcare Information and Management Systems Society) tarafından [5] Kasım–Aralık 2024 döneminde gerçekleştirilen 2024 Sağlık Siber Güvenlik Araştırması’na göre, güvenlik olaylarının önemli bir kısmı farklı oltalama türleri üzerinden gerçekleşmiştir. En yaygın oltalama saldırı türleri şu şekilde raporlanmıştır:

  • Genel e-posta oltalama (General Email Phishing): %63 
  • SMS oltalama (SMS Phishing / Smishing): %34 
  • Hedefli oltalama (Spear Phishing): %34 
  • İş e-postası ele geçirme (Business Email Compromise – BEC): %31 
  • Sahte oltalama siteleri (Phishing Websites): %21 
  • Kötü amaçlı reklamlar (Malicious Ads / Malvertising): %20 
  • Sosyal medya üzerinden oltalama (Social Media Phishing): %19 
  • Sesli mesaj oltalama (Vishing – Voicemail Phishing): %17 
  • Üst düzey yönetici taklidi (Whaling / Executive Impersonation): %16

2. Zararlı Yazılımlar Ve Fidye Yazılımları:  Sağlık sektörü için son derece kritik tehditler arasında yer almakta; hastane sistemlerini tamamen devre dışı bırakma, hasta bakım süreçlerini aksatma ve büyük miktarda Kişisel Sağlık Verisi’nin (PHI – Protected Health Information) açığa çıkmasına neden olma potansiyeline sahiptir. HHS (U.S. Department of Health and Human Services) Bilgi Güvenliği Ofisi ile Sağlık Sektörü Siber Güvenlik Koordinasyon Merkezi (HC3) tarafından yayımlanan 2024 raporuna göre [6] LockBit, CIOp, ALPHV ve BianLian gibi tehdit aktörleri (threat actors) başta olmak üzere çeşitli gruplar, 460’tan fazla ABD merkezli sağlık kuruluşunu hedef almıştır. Büyük ölçekli bir hastane ağına yönelik gerçekleştirilen dikkat çekici bir saldırıda, 500.000’den fazla hasta doğrudan etkilenmiş; tedavi süreçlerinde gecikmeler, randevu iptalleri ve ambulans yönlendirmeleri gibi ciddi operasyonel aksaklıklar yaşanmıştır. 


3. İçeriden Kaynaklanan Tehditler (Insider Threats): İster kasıtlı kötü niyetli faaliyetlerden (malicious insider) isterse kasıtsız hatalardan (negligent insider) kaynaklansın, içeriden kaynaklanan tehditler sağlık kuruluşları için kritik bir risk oluşturmaktadır. Hasta verilerini barındıran elektronik sağlık kayıtları gibi hassas sistemlere erişimi olan çalışanlar, yükleniciler ve üçüncü taraf tedarikçiler; hatalı veri işleme (improper data handling), yetkisiz veri ifşası (unauthorized disclosure) veya kötü niyetli eylemler yoluyla güvenliği zafiyete uğratabilmektedir.


4. Güvenlik Açıkları Barındıran Tıbbi Cihazlar (Vulnerable Medical Devices / IoMT): İntravenöz infüzyon pompaları, görüntüleme sistemleri ve hasta monitörleri gibi tıbbi cihazların artan bağlantı kabiliyetleri; gerçek zamanlı veri entegrasyonu (real-time data integration) ve uzaktan hasta izleme (remote patient monitoring) imkânı sunarak sağlık hizmetlerinde önemli bir dönüşüm sağlamıştır. Bu Tıbbi Nesnelerin İnterneti cihazları (IoMT – Internet of Medical Things) ve hastane ağlarıyla entegre çalışarak operasyonel verimliliği ve klinik çıktıların kalitesini artırmaktadır. Bununla birlikte, söz konusu bağlantılı yapı ciddi siber güvenlik risklerini de beraberinde getirmekte ve tehdit aktörleri (threat actors) için yeni saldırı vektörleri oluşturmaktadır. Birçok IoMT cihazı; güncel olmayan yazılımlar (legacy systems), yetersiz şifreleme mekanizmaları (weak/no encryption) ve sınırlı güvenlik kontrolleri nedeniyle istismar (exploitation) açısından yüksek risk taşımaktadır. Özellikle yamalanmamış sistemler (unpatched systems), oltalama (phishing) kaynaklı ilk erişim (initial access) veya doğrudan ağ ihlalleri (network intrusion) yoluyla ele geçirilebilmektedir. Bunlar sağlık sistemlerini özellikle hedefleyen belli başlı atak vektörleri olarak karşımıza çıkmaktadır. 

 

Siber suç ekosisteminde fidye yazılımı grupları, hedef sektörlerin operasyonel kırılganlıklarını analiz ederek saldırı yüzeylerini sürekli optimize etmektedir. Everest Ransomware Group da bu aktörlerden biri olarak, özellikle sağlık sektörü gibi yüksek baskı altında çalışan ve kesinti toleransı düşük organizasyonları hedeflemektedir. Bu grubu detaylıca incelemek istersek AHA (American Hospital Association) ve HC3 tarafından yayımlanan [7] tehdit aktörü profiline göre Everest grubu, gelişmiş zero-day tekniklerden ziyade daha çok kimlik avı, zayıf erişim kontrolü ve yanlış yapılandırılmış sistemler üzerinden ilerleyen bir saldırı modeli benimsemektedir.


İlk Erişim Vektörleri

Everest grubunun saldırı zinciri genellikle “ilk erişim” aşamasında şekillenmektedir. Bu aşamada en yaygın kullanılan yöntemler şunlardır:


Phishing ve Spear Phishing saldırıları, sağlık çalışanlarını hedef alan en temel vektörlerden biridir. Kurumsal e-posta sistemlerini taklit eden mesajlar üzerinden kullanıcıların kimlik bilgileri ele geçirilir. Özellikle Microsoft 365 ve VPN hesaplarına yönelik credential harvesting kampanyaları dikkat çekmektedir. Bunun yanında geçerli hesapların kötüye kullanımı da önemli bir erişim yöntemidir. Daha önce sızdırılmış veya brute-force ile elde edilmiş kullanıcı bilgileri, doğrudan VPN ve RDP erişimi sağlamak için kullanılmaktadır. Bir diğer kritik vektör ise açıkta kalan uzak erişim servisleridir. Özellikle MFA uygulanmamış RDP ve VPN altyapıları, saldırganların iç ağa sızmasını kolaylaştırmaktadır.

Son olarak, güncellenmemiş veya yamalanmamış web uygulamaları üzerinden bilinen zafiyetlerin istismar edilmesi de sık görülen bir yöntemdir.


İç Ağa Sızma ve Yanal Hareket

İlk erişim sağlandıktan sonra saldırganlar genellikle yetki yükseltme (privilege escalation) faaliyetlerine başlar. Bu süreçte LSASS memory dump gibi tekniklerle kimlik bilgileri toplanır.

Ardından yanal hareket (lateral movement) aşamasına geçilir. SMB, RDP ve PsExec gibi protokoller kullanılarak ağ içinde farklı sistemlere yayılım sağlanır. Sağlık sektöründe yaygın olan düz (flat) ağ mimarisi, bu hareketi kolaylaştıran önemli bir faktördür.


Veri Toplama ve Sızdırma

Everest grubu, klasik fidye yazılımı yaklaşımının ötesine geçerek çift şantaj (double extortion) modeli kullanmaktadır.

Bu modelde:

  • Kritik sağlık verileri (EHR sistemleri, hasta kayıtları, finansal veriler) toplanır 
  • Veriler şifrelenmeden önce dışarı sızdırılır 
  • Ardından fidye ödenmezse verilerin ifşa edileceği tehdidi yapılır 

Veri sızdırma işlemleri genellikle şifreli kanallar üzerinden gerçekleştirilir ve tespit edilmesi zorlaştırılır.

Etki ve Operasyonel Sonuçlar

Saldırının son aşamasında fidye yazılımı devreye girerek sistemleri şifreler. Sağlık sektörü açısından bu durum kritik sonuçlar doğurur:

  • Hasta hizmetlerinde kesinti 
  • Acil müdahale süreçlerinde gecikme 
  • Klinik operasyonların durması 
  • Reputasyon ve regülasyon (KVKK, HIPAA vb.) riskleri 

Buna ek olarak, veri sızıntısı tehdidi organizasyonları ödeme yapmaya zorlayan en önemli baskı unsurlarından biridir.

Değerlendirme

Everest Ransomware Group’un saldırı modeli, ileri düzey exploit tekniklerinden ziyade insan hatası, zayıf kimlik yönetimi ve yanlış yapılandırılmış sistemler üzerine kuruludur. Bu durum özellikle sağlık sektörü için kritik bir risk alanı oluşturur.

Sağlık kurumlarında:

  • MFA zorunluluğu 
  • RDP/VPN erişimlerinin sıkı kontrolü 
  • Ağ segmentasyonu 
  • Düzenli zafiyet yönetimi
  • Düzenli Güvenlik İhlal kontrolü (compromise assessment)

gibi temel güvenlik kontrolleri, bu tür tehditlerin etkisini ciddi ölçüde azaltmaktadır.

 

Referanslar

[1] https://attack.mitre.org/groups/ 

[2] https://www.hipaajournal.com/ransomware-groups-targeting-healthcare-organizations/

[3] https://www.kvkk.gov.tr/veri-ihlali-bildirimi

[4] https://news.un.org/en/story/2024/11/1156751

[5] https://cdn.sanity.io/files/sqo8bpt9/production/4f1c1968050411b8bf9335a187301881f9153b9f.pdf

[6] https://www.hhs.gov/sites/default/files/ransomware-healthcare.pdf

[7] https://www.aha.org/system/files/media/file/2024/08/hc3-tlp-clear-threat-actor-profile-everest-ransomware-group-august-20-2024.pdf