DentaQuest entdeckte den Sicherheitsvorfall am 20. Mai. Nach Unternehmensangaben hatten die Angreifer zwischen dem 17. Mai und dem 20. Mai Zugriff auf das Netzwerk. In dieser Zeit wurden sensible personenbezogene und medizinische Informationen abgerufen, darunter Namen, Anschriften, Sozialversicherungsnummern, Mitgliedskennungen, Medicaid- und Medicare-Nummern sowie Angaben zu Diagnosen, Behandlungen und Abrechnungen.
In seiner Benachrichtigung zum Vorfall erklärt der Administrator für Versicherungsleistungen, Betroffenen 24 Monate kostenlose Kreditüberwachung, Beratung bei Betrugsfällen und Unterstützung bei Identitätsdiebstahl bereitzustellen. Aus Einreichungen bei den Generalstaatsanwaltschaften von Texas, Massachusetts und South Carolina geht hervor, dass DentaQuest schriftliche Benachrichtigungen an mindestens 4,5 Millionen Menschen verschickt.
Das tatsächliche Ausmaß könnte jedoch deutlich größer sein. Nach Angaben des HIPAA Journal waren potenziell mehr als 23,4 Millionen Personen von dem Datenleck betroffen. DentaQuest habe demnach bestätigt, dass mindestens 15 Millionen Menschen betroffen waren.
Zum verantwortlichen Bedrohungsakteur hat das Unternehmen keine Details veröffentlicht. Die bekannte Erpressergruppe ShinyHunters reklamierte den Vorfall jedoch für sich und veröffentlichte nach eigenen Angaben rund 234 Gigabyte an Daten, die von dem Anbieter für Zahnversicherungsleistungen gestohlen worden seien.
Wie die Website HaveIBeenPwned Anfang Juni mitteilte, umfassten die veröffentlichten Daten zudem E-Mail-Adressen, Telefonnummern, Geburtsdaten und staatlich ausgestellte Ausweisdokumente.
DentaQuest ist eine Tochter von Sun Life und betreut 35 Millionen Menschen in 50 Bundesstaaten. Das Unternehmen zählt damit zu den größten Verwaltern von Zahnversicherungsleistungen in den USA.