Clover Health Investments hat einen Datenschutzvorfall bestätigt, der Kundeninformationen betrifft. Laut dem Unternehmen wurde der Angriff am 4. Juli entdeckt und durch Social Engineering ermöglicht. Dabei wurden drei Konten von nicht leitenden Mitarbeitern kompromittiert.
Wie Clover Health in einer Einreichung bei der US-Börsenaufsicht SEC erklärte, gehörten die betroffenen Konten Beschäftigten, die für die Terminplanung von Mitgliederbesuchen sowie für vertriebsnahe Aufgaben mit Brokern zuständig waren. Nach Unternehmensangaben konnten diese Konten auf bestimmte personenbezogene Daten und geschützte Gesundheitsinformationen zugreifen.
Keinen Zugriff gab es laut Clover Health hingegen auf Finanzsysteme des Unternehmens oder auf Systeme für Leistungsansprüche. Das grenzt den Vorfall zwar technisch ein, ändert aber nichts daran, dass persönliche und medizinische Informationen betroffen sein können.
Unmittelbar nach der Entdeckung des Angriffs habe das Unternehmen seinen Reaktionsplan aktiviert, teilte Clover Health mit. Zudem seien externe Cybersicherheitsexperten eingebunden worden, um den Eindringling einzudämmen und die Untersuchung zu unterstützen.
Nach eigener Darstellung geht Clover Health derzeit davon aus, den Vorfall eingedämmt und die Angreifer aus den eigenen Systemen entfernt zu haben. Noch offen ist jedoch, welche Daten genau betroffen sind und welchen präzisen Umfang der Datenschutzvorfall hat. Das Unternehmen erklärte ausdrücklich, dass Art, Reichweite und Ausmaß derzeit noch nicht abschließend bestimmt seien.
Angaben zu den Hintermännern machte Clover Health nicht. Dem Bericht zufolge hat bislang auch keine bekannte Ransomware- oder Erpressergruppe die Verantwortung für den Vorfall übernommen.
Clover Health Investments wurde 2014 gegründet, bietet Medicare-Advantage-Versicherungspläne an und ist ein direkter Auftragnehmer der US-Regierung.