İtalyan işitme sağlığı şirketi Amplifon'un merkezi Minneapolis'te bulunan ABD kolu Amplifon Americas, şirket sistemlerine sızan yetkisiz kişilerin dosya çaldığını ve kişisel bilgilerle birlikte sağlık kayıtlarının bu veri ihlali kapsamında etkilendiğini açıkladı. Teksas Başsavcılığı'na yapılan bildirime göre olaydan 85.804'ü Teksas'ta olmak üzere toplam 1.332.826 kişi etkilendi; çalınan dosyalar arasında tıbbi bilgiler, sigorta kayıtları ve resmî kimlik numaraları bulunuyor.
Saldırganların sistemlere erişimi Ocak 2026'da gerçekleşirken etkilenen kişilere bildirimler yaklaşık dokuz ay sonra, 5 Kasım 2026'da gönderilmeye başlandı. Şirket aynı tarihte Vermont Başsavcılığı'na 1.027 eyalet sakininin etkilendiğini bildirdi ve Kaliforniya Başsavcılığı'na da bildirim yaptı. The Record, toplam 1,3 milyon sayısını hukuk bürolarının aktardığını ve Amplifon'un bu rakamı teyit etmediğini yazdı.
Saldırganlar sistemlerde üç hafta kaldı
Amplifon'un bildiriminde yer alan zaman çizelgesine göre şirket, 11 Şubat 2026'da ağındaki bazı sistemlerde şüpheli hareketler tespit etti. Olayın kontrol altına alınmasının ardından dış siber güvenlik uzmanlarıyla inceleme başlatıldı ve durum kolluk kuvvetlerine bildirildi.
Yürütülen inceleme, yetkisiz bir üçüncü tarafın 18 Ocak ile 8 Şubat 2026 tarihleri arasında bazı Amplifon sistemlerinden dosya aldığını ortaya koydu. Etkilenen verilerin incelenmesi 6 Ekim 2026'da tamamlandı, kişilere yönelik bildirim süreci ise sızmadan yaklaşık dokuz ay sonra, 5 Kasım 2026'da başladı.
Hangi veriler etkilendi
Amplifon'un bildirimine göre olayda etkilenebilecek veri türleri şunlar:
- Ad, iletişim bilgileri ve doğum tarihi
- Ehliyet numarası ve diğer resmî kimlik numaraları
- İşitme verileri, tıbbi bilgiler, tıbbi kayıt numaraları, hizmet tarihleri ve diğer sağlık bilgileri
- Sağlık sigortası kimlik numaraları ve sağlık sigortası bilgileri
Bildirimde ayrıca sınırlı sayıda kişinin Sosyal Güvenlik numarası (SSN) ile finansal bilgilerinin de etkilenmiş olabileceği kaydedildi.
Şirketin açıklaması ve sunulan hizmet
Amplifon, yaptığı bildirimde kişisel bilgilerin olay nedeniyle kötüye kullanıldığına dair bir bilgiye sahip olmadığını belirtti. Etkilenen hesapları devre dışı bıraktığını ve şüpheli hareket izlemesini artırdığını açıklayan şirket, Kaliforniya Başsavcılığı'ndaki bildirim şablonuna göre bazı kişilere Kroll aracılığıyla 24 ay ücretsiz kredi ve kimlik izleme hizmeti sunuyor. Şirket ayrıca bilgilendirme için bir çağrı merkezi kurdu.
Miracle-Ear markasını da bünyesinde barındıran Amplifon Americas; sağlık planları, işverenler ve üyelik gruplarına işitme sağlığı yardım programları yürütüyor. Olayın ardından ABD'de birden fazla hukuk bürosu olası toplu dava için inceleme başlattı, ancak 8 Kasım 2026 itibarıyla dava açılmadığı bildirildi.
Açıklanmayanlar
Saldırganların şirket ağına nasıl girdiği, hangi sistemlere erişildiği, olayda bir tedarikçinin rol oynayıp oynamadığı ve fidye talebi bulunup bulunmadığı açıklanmadı. Etkilenenlerin hasta mı, sigorta planı üyesi mi yoksa çalışan mı olduğu da açıklanmadı. Sorumlu gruba ilişkin bilgi paylaşılmazken The Record, 9 Kasım 2026 itibarıyla hiçbir siber suç grubunun saldırıyı üstlenmediğini bildirdi.
Türkiye açısından
Türkiye açısından bakıldığında bu olay, işitme cihazı ve odyoloji hizmeti gibi sağlık alanlarında tutulan tıbbi ve sigorta kayıtlarının, kimlik numarası bilgileriyle birlikte saldırganlar için ne kadar değerli olduğunu gösteriyor. Türkiye'de sağlık verisi, KVKK kapsamında özel nitelikli kişisel veri sayılıyor. Etkilenen veriler yalnız ABD'deki kişilere ait olup olayın Türkiye'deki kullanıcıları etkilediğine dair bir bilgi bulunmuyor.
Kaynaklar
- SecurityWeek, Amplifon Americas Data Breach Impacts 1.3 Million, 9 Kasım 2026
- The Record, Data breach at hearing aid giant Amplifon impacts thousands, 9 Kasım 2026
- BreachNews, Amplifon Americas Data Breach Hits 1.3M People
Kapak görseli: «Amplifon, 2 The Quay, Bideford», Roger A Smith, Wikimedia Commons, CC BY-SA 2.0 (kırpıldı, 1200x675).
