Xsolis beschreibt den Vorfall als gezielten Phishing-Angriff, der Angreifern Zugang zum Unternehmensnetzwerk verschaffte. Nach Unternehmensangaben wurde am 22. Januar 2026 eine unbefugte Aktivität in einem begrenzten Teil der Xsolis-Umgebung entdeckt; Ausgangspunkt sei ein Angriff vom 20. Januar 2026 gewesen. Xsolis erklärte dazu, man habe die Aktivität sofort eingedämmt und gemeinsam mit externen Cybersicherheitsexperten Ermittlungen aufgenommen.
Die Untersuchung ergab laut Xsolis, dass die Angreifer auf bestimmte Dateien innerhalb der Xsolis-Umgebung zugreifen konnten, die Kundeninformationen enthielten. Welche Datentypen im Einzelnen betroffen waren, geht aus dem vorliegenden Text nicht weiter hervor. Nach den an das U.S. Department of Health and Human Services übermittelten Daten betrifft der Vorfall 1.396.519 Menschen.
Das Unternehmen mit Sitz in den USA entwickelt KI-gestützte Software, die nach eigenen Angaben von mehr als 600 Krankenhäusern und Krankenversicherern genutzt wird. Zu den Einsatzbereichen zählen Auslastungsmanagement, Prüfungen der medizinischen Notwendigkeit, Entscheidungen zum Patientenstatus, Entlassungsplanung und Erstattungen. Die zentrale Plattform Dragonfly analysiert klinische Daten in Echtzeit, um Leistungserbringern und Kostenträgern fundiertere und konsistentere Entscheidungen zur Patientenversorgung und Versicherungsdeckung zu ermöglichen.
Xsolis teilte mit, den Vorfall den Strafverfolgungsbehörden gemeldet zu haben. Zudem habe das Unternehmen zusätzliche Sicherheitsmaßnahmen umgesetzt und informiere potenziell Betroffene per Brief. Aus einem Muster der Benachrichtigung geht hervor, dass Xsolis die Passwörter aller Nutzer und wichtiger Konten zurückgesetzt, die Systemüberwachung ausgebaut und die Einführung aktualisierter Sicherheitsmaßnahmen abgeschlossen hat.
Darüber hinaus wurde nach Angaben des Unternehmens das Sicherheitstraining für Beschäftigte beschleunigt und die Verwaltung von Zugangsdaten verstärkt. Wenn ein betroffener Kunde ein Kind ist, will Xsolis die Benachrichtigung an Eltern oder gesetzliche Vertreter senden.
Empfänger der Schreiben erhalten außerdem Hinweise, wie sie sich für einen zwölfmonatigen Dienst zur Überwachung der Identität und zur Wiederherstellung nach Identitätsdiebstahl über Kroll anmelden können. Zugleich erklärte Xsolis, dem Unternehmen seien derzeit keine Versuche des Missbrauchs der offengelegten Informationen bekannt. Dennoch warnt die Firma Betroffene, auf mögliche gezielte Angriffe zu achten.