Medtronic hat nach einem Cybervorfall die Benachrichtigung der Betroffenen begonnen. Nach Darstellung des Unternehmens drang die bekannte Erpressergruppe ShinyHunters im April 2026 in die Corporate-IT des Konzerns ein. Bereits Ende April hatte Medtronic den Angriff bestätigt und zugleich erklärt, dass die eigenen Produkte sowie die Fertigungs- und Distributionsprozesse davon nicht betroffen gewesen seien.
Brisant ist vor allem die Art der abgeflossenen Daten. In den nun versandten Schreiben an Betroffene bestätigt Medtronic, dass Patienteninformationen entwendet wurden. Dazu zählen Namen, Kontaktdaten, Geburtsdaten, Sozialversicherungsnummern und gesundheitsbezogene Details.
Wie groß der Vorfall ist, geht aus einer Meldung an die Generalstaatsanwaltschaft von Indiana hervor: Dort gab Medtronic an, dass 3.834.294 Personen betroffen sind. Damit liegt die bestätigte Zahl unter den Behauptungen von ShinyHunters, die das Unternehmen am 17. April auf ihrer über Tor erreichbaren Leak-Seite gelistet hatten. Die Gruppe behauptete damals, mehr als 9 Millionen Datensätze mit personenbezogenen Informationen sowie Terabytes an Unternehmensdaten erbeutet zu haben.
Inzwischen ist Medtronic von dieser Leak-Seite wieder verschwunden. Das deute darauf hin, dass das Unternehmen möglicherweise Lösegeld gezahlt habe, um die gestohlenen Informationen zurückzuerhalten. Eine Bestätigung dafür enthält der vorliegende Text jedoch nicht.
Aus einem bei der Generalstaatsanwaltschaft von Kalifornien eingereichten Exemplar des Benachrichtigungsschreibens geht hervor, dass Medtronic nach eigener Aussage keine Belege dafür hat, dass die betroffenen Informationen öffentlich veröffentlicht oder im Internet offengelegt wurden. Die Formulierung beschränkt sich ausdrücklich auf den derzeitigen Kenntnisstand des Unternehmens.
Als Reaktion bietet Medtronic den Betroffenen 24 Monate lang kostenlose Leistungen zur Kreditüberwachung, zur Überwachung des Dark Web und zur Wiederherstellung nach Identitätsdiebstahl an. Zudem teilte das Unternehmen mit, zusätzliche Schutzmaßnahmen umgesetzt zu haben und weiter mit externen Cybersicherheitsexperten zusammenzuarbeiten, um Möglichkeiten zur weiteren Absicherung der eigenen Systeme zu identifizieren.
Nach Angaben von Medtronic wurde außerdem mit Strafverfolgungsbehörden kooperiert, und relevante Regulierungsbehörden wurden benachrichtigt. Weitere technische Details zum Eindringen oder zur Exfiltration nennt der Quelltext nicht.