Laut Medtronic sind die Netzwerke, die die Unternehmens-IT, die Produkte sowie Fertigung und Vertrieb tragen, voneinander getrennt. Auch die Netzwerke der Krankenhauskunden seien von den IT-Netzen des Konzerns abgeschottet und würden von den IT-Teams der Kunden gesichert und verwaltet.
Weitere Angaben zum Ablauf des Angriffs oder zu den Tätern machte das Unternehmen nicht. Die Gruppe ShinyHunters führte Medtronic jedoch auf ihrer Liste von Opfern und gab an, durch den Einbruch „über 9 Millionen Datensätze mit personenbezogenen Daten" erbeutet zu haben.
Darüber hinaus behaupten die Angreifer, „Terabytes interner Unternehmensdaten" kompromittiert zu haben. Sie setzten Medtronic unter Druck und drohten mit einer Veröffentlichung, sollte das Unternehmen nicht zahlen.
ShinyHunters listete Medtronic am 18. April und drohte damit, die gestohlenen Daten freizugeben, sofern der Konzern nicht bis zum 21. April in Verhandlungen über eine Lösegeldzahlung eintrete. Inzwischen ist Medtronic auf der Leak-Seite der Gruppe nicht mehr zu sehen.
Medtronic erklärte, eine Untersuchung laufe, um festzustellen, ob die Angreifer auf personenbezogene Daten zugegriffen haben. Sollte sich eine Offenlegung von Kundendaten bestätigen, will das Unternehmen die Betroffenen benachrichtigen und ihnen bei Bedarf Unterstützungsleistungen anbieten.
BleepingComputer hat Medtronic mit Fragen kontaktiert; eine Antwort stand zum Zeitpunkt der Veröffentlichung noch aus.