Mart 2026'da New Jersey merkezli CareCloud adlı sağlık yazılımı firması, elektronik hasta kaydı depolarından birine izinsiz girildiğini duyurdu. Saldırganlar en az altı gün boyunca sistemde kaldı. Yaz aylarında eyalet savcılıklarına düşen bildirimlerde etkilenen kişi sayısı yaklaşık 345 bine yaklaştı; çalınanlar arasında ad, adres, kimlik numaraları, banka bilgileri ve tıbbi kayıtlar vardı.1 Dikkat çeken nokta şu: CareCloud bir hastane değil. On binlerce doktor muayenehanesi ve klinik için kayıt tutan bir aracı.
Bu sahne tekil bir skandal değil. Sağlık kaydının gizliliği, artık kilitli dosya dolabından çok, o dosyayı barındıran bulut hesabının ve o hesaba bağlı üçüncü tarafların güvenliğine bağlı. Soru basit: mahremiyet nereye gidiyor?
- ABD'de sağlık sektörü 2025'te kritik altyapılar arasında en çok saldırı alan alan oldu; tek başına yüzlerce fidye yazılımı bildirimi var.
- Sızıntı çoğu kez hastaneden değil, hastanenin bağlı olduğu yazılım veya fatura firmasından açılıyor.
- Türkiye'de sağlık verisi yasa gereği özel nitelikli; ama e-Nabız erişimi ve kurum ihlalleri mahremiyetin kâğıt üzerinde kalabileceğini gösteriyor.
- Kayıtların kaderi artık yalnızca doktor-hasta ilişkisine değil, tedarik zincirinin en zayıf halkasına bağlı.
Neden sağlık kaydı bu kadar değerli?
Kredi kartını değiştirirsin. Tıbbi geçmişini değiştiremezsin. Diyabet tanısı, psikiyatri notu, genetik test sonucu, gebelik öyküsü: bunlar ömür boyu seninle kalan, işe girişte, sigortada, mahkemede, hatta aile içinde silah gibi kullanılabilecek bilgiler. Suç örgütleri de bunu biliyor. FBI'ın İnternet Suçları Şikâyet Merkezi'nin 2025 yıllık raporuna göre sağlık ve kamu sağlığı sektörü, Amerika'nın 16 kritik altyapı alanı arasında en çok siber olay bildirilen sektör oldu: 460 fidye yazılımı saldırısı ve 182 veri ihlali, toplam 642 olay. Finans sektörü 447 olayla ikinci sıradaydı.2
Amerikan Hastaneler Birliği'nin siber güvenlik danışmanı John Riggi'nin ifadesiyle bu saldırılar yalnızca veri hırsızlığı değil; dijitalleşmiş hastanede sistemi kilitlemek, ameliyatı ve acil bakımı geciktirmek anlamına geliyor. Yani mahremiyetin yanında hasta güvenliği de masada.2
Asıl delik: hastane değil, tedarikçi
2025'in başında Episource adlı bir risk ayarlama ve tıbbi kodlama firmasına düzenlenen saldırıda 5 milyonu aşkın kişinin verisi etkilendi. Firma, sağlık planları ve sağlayıcı grupları için çalışan bir ara katman; yani saldırı bir hastanenin duvarını değil, sektörün ortak omurgasını deldi.3 CareCloud örneği de aynı mantığı tekrarlıyor: tek bir yazılım deposu, on binlerce klinik müşterisinin kayıtlarını bir arada tutuyor.
Bu modelin bedeli net: sen randevu aldığın kliniğe güvenebilirsin; ama o kliniğin kullandığı fatura yazılımı, bulut yedekçisi veya genetik laboratuvarı aynı özeni göstermeyebilir. Baylor Genetics'in 2026 Haziran'ında açıkladığı ihlalde genetik test sonuçları, sigorta bilgileri ve kimlik numaraları da çalınanlar arasındaydı.4 Genetik veri bir kez sızınca, yalnızca seni değil akrabalarını da işaret eder.
Türkiye'de kural sıkı, pratik delikli
6698 sayılı Kişisel Verilerin Korunması Kanunu sağlık verisini "özel nitelikli kişisel veri" sayıyor; işlenmesi genel verilere göre daha sıkı şartlara bağlanıyor. Kamu sağlığı, teşhis ve tedavi gibi istisnalar var ama keyfi erişim yok.5 Kâğıt üzerindeki koruma güçlü. Sahadaki örnekler ise başka bir tablo çiziyor.
Kişisel Verileri Koruma Kurulu'nun 2023/695 sayılı kararında, bir özel tıp merkezinde hekime ait e-Nabız erişiminin yardımcı personele açılması ve ilgili kişinin sağlık verilerinin tedavi ilişkisi olmadan görüntülenmesi hukuka aykırı bulundu; kuruma 200 bin lira idari para cezası verildi.6 Yani sızıntı her zaman uzaktaki bir hacker grubundan gelmiyor; bazen yakındaki bir şifre paylaşımından geliyor.
Ağustos 2025'te Türk Tabipleri Birliği, sistemlerine yönelik siber saldırıyı KVKK'ye bildirdi. İlk değerlendirmede etkilenebilecek kişi sayısı yaklaşık 107 bin olarak anıldı; inceleme sürerken kurum bildirimi kamuoyuna duyurdu.7 Türkiye'de de sağlık ekosistemi, dünya ile aynı zayıf halkayı taşıyor: merkezi dijital kayıt + üçüncü taraf sistemler + insan hatası.
Mahremiyet nereye gidiyor?
İki yön bir arada ilerliyor. Bir yanda elektronik kayıt, e-Nabız, tele-tıp ve genetik testler bakımı hızlandırıyor; diğer yanda aynı altyapı, tek bir zayıf tedarikçi üzerinden milyonlarca dosyayı aynı anda hedef haline getiriyor. Yasalar sıkılaşıyor, cezalar yazılıyor, ihlal bildirimleri artıyor. Ama veri bir kez kopyalandığında geri alınamıyor. Fidye ödense bile kopyanın silindiğini kanıtlamak çoğu zaman mümkün değil.
Senin elinde kalan pratik alan dar ama boş değil: e-Nabız paylaşım ayarını gerçekten ihtiyacın olan seviyede tutmak, bilinmeyen sağlık uygulamalarına gereksiz izin vermemek, ihlal bildirimi geldiğinde hangi verinin sızdığını kayda almak. Asıl yük ise kliniklerde ve yazılım firmalarında: erişim yetkisini daraltmak, log tutmak, tedarikçiyi denetlemek. Mahremiyetin geleceği, "veriyi toplayalım, sonra bakarız" alışkanlığının bitip bitmeyeceğine bağlı.
Sağlık kaydın artık tek bir dosyada değil; senin görmediğin bir sunucu zincirinde yaşıyor. bu yazının tek cümlelik özeti
CareCloud'un altı günlük sızıntısı, Episource'un milyonluk ihlali ve e-Nabız şifresinin masada dolaşması aynı hikâyenin parçaları. Tıbbi veri tehdit altında demek, hastanenin kapısının kırıldığı anlamına gelmiyor her zaman. Daha sık görülen şu: kapı sağlam, anahtar başka bir ofiste asılı duruyor.
Dipnotlar ve Kaynaklar
- CareCloud ihlali: Whittaker, Z. (30 Temmuz 2026). "CareCloud begins to notify hundreds of thousands after hackers stole medical records", TechCrunch; California ve diğer eyalet savcılıklarına yapılan bildirimlere dayanır. ↩
- FBI Internet Crime Complaint Center 2025 yıllık raporu; özet: American Hospital Association (10 Nisan 2026). "FBI: Health care was top target for ransomware, other cyberthreats in 2025". 460 fidye yazılımı + 182 veri ihlali = 642 olay. ↩
- Episource / tedarik zinciri ihlali: Health-ISAC (2026). 2026 Global Health Sector Cyber Threat Report; Ocak–Şubat 2025 saldırısında 5,4 milyonu aşkın kişi etkilendiği raporlanır. ↩
- Baylor Genetics: Haziran 2026'da ağ erişimi tespit edildi; çalınanlar arasında genetik test sonuçları ve kimlik bilgileri. Aktarım: MD+DI / medtech siber saldırı özetleri (2026). ↩
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, mad. 6 (özel nitelikli kişisel veriler; sağlık verilerinin işlenme şartları). ↩
- Kişisel Verileri Koruma Kurulu, 02/05/2023 tarih ve 2023/695 sayılı karar özeti (e-Nabız'a hukuka aykırı erişim; 200.000 TL idari para cezası). ↩
- KVKK duyurusu: Türk Tabipleri Birliği'nin 8 Ağustos 2025 siber saldırı bildirimi; Kurul'un 14.08.2025 / 2025/1514 sayılı kararıyla ilan. İlk değerlendirmede yaklaşık 107 bin kişi etkilenebileceği belirtilmiştir. ↩
Bu içerik bilgilendirme amaçlıdır; hukuki veya tıbbi tavsiye değildir. Kişisel bir veri ihlali yaşadıysan resmi kurum kanallarını ve hukuki danışmanı kullan.
kafa1milyon
Meraklı bir kafa. Bilimsel makaleleri, arşiv belgelerini ve saha notlarını okuyup gündelik dile çeviriyor; bilinmeyeni bilinmiyor diye yazmaktan çekinmiyor.
