Xsolis veröffentlichte Anfang Juni einen Hinweis zu einem Sicherheitsvorfall, in dem das Unternehmen mitteilte, am 22. Januar unbefugte Aktivität auf seinen Systemen festgestellt zu haben. Nach Angaben der Firma ging der Einbruch auf einen gezielten Phishing-Angriff zurück, der zwei Tage zuvor stattgefunden hatte.
Betroffen waren Dateien mit persönlichen Daten und geschützten Gesundheitsinformationen, die Xsolis von seinen Kunden erhalten hatte. Das Unternehmen nennt dabei Namen, Geburtsdaten, Adressen, Sozialversicherungsnummern, Informationen zu Krankenversicherungen sowie Angaben zu medizinischen Behandlungen.
Offengelegt worden war der Vorfall bereits vor zwei Wochen, die Zahl der Betroffenen wurde jedoch erst jetzt durch das US-Gesundheitsministerium bekannt. Das Department of Health and Human Services (HHS) nahm den Cybersicherheitsvorfall bei Xsolis am Montag in seinen Datenpannen-Tracker auf und bezifferte die Zahl der Betroffenen auf 1.396.519.
Xsolis hat seinen Sitz in Tennessee und entwickelt Technologie für Krankenhäuser, Gesundheitssysteme und Kostenträger. Der Vorfall betrifft damit Daten, die das Unternehmen im Rahmen seiner Dienstleistungen für diese Kunden verarbeitet oder erhalten hat.
Eine bekannte Ransomware-Gruppe hat sich nach derzeitigem Stand nicht zu dem Angriff auf das Healthcare-Tech-Unternehmen bekannt. SecurityWeek hat Xsolis gefragt, ob das Unternehmen Ziel eines Erpressungsversuchs war und ob gegebenenfalls Lösegeld gezahlt wurde.
In seiner Mitteilung erklärt Xsolis, man habe „keine Kenntnis von einer tatsächlichen oder versuchten missbräuchlichen Verwendung von Informationen aufgrund dieses Vorfalls“. Unabhängig davon zeigt der HHS-Eintrag, dass die Zahl der von dem Datenabfluss betroffenen Personen fast 1,4 Millionen erreicht.
SecurityWeek verweist zudem darauf, dass Datenschutzvorfälle im Gesundheitswesen nicht selten Millionen von Menschen betreffen. Als aktuelles Beispiel nennt das Medium den Vorfall beim Verwalter von Zahnzusatzleistungen DentaQuest, bei dem Angreifer Informationen aus 2,6 Millionen Konten gestohlen hatten.