MCBS beschreibt sich als regionales, privat geführtes Unternehmen für medizinische Abrechnung und Praxismanagement. In seiner Benachrichtigung auf der eigenen Website teilte das Unternehmen mit, dass Unbefugte an mehreren Tagen im September 2025 Zugriff auf das Netzwerk hatten. Erst nach Abschluss der Untersuchung habe sich ergeben, dass Daten von 1.261.464 Personen betroffen sein könnten, wie MCBS dem US-Gesundheitsministerium meldete.

Welche Informationen offengelegt worden sein könnten, variiert laut MCBS von Person zu Person. Das Unternehmen macht damit deutlich, dass nicht bei allen Betroffenen derselbe Datensatz exponiert wurde. Der Vorfall betrifft MCBS in seiner Rolle als Dienstleister für Gesundheitsorganisationen, für die das Unternehmen Patientendaten verarbeitet.

In der Mitteilung nennt MCBS außerdem sieben sogenannte abgedeckte Einrichtungen, also Gesundheitsdienstleister, deren Patientendaten das Unternehmen als Geschäftspartner verarbeitet hat. Zu den genannten Organisationen zählen South Georgia Radiology Consultants, SkinPath Solutions sowie Stephen W. Brown and Radiology Associates.

MCBS rät potenziell Betroffenen, eine Betrugswarnung einrichten zu lassen und zu prüfen, ob sie ihre Kreditakte sperren lassen wollen. Personen, die medizinische Leistungen in Georgia erhalten haben, sollen nach Angaben des Unternehmens ihren Gesundheitsdienstleister kontaktieren, um zu klären, ob dieser mit MCBS zusammenarbeitet und ob persönliche Informationen durch den Vorfall betroffen sein könnten.

Zu dem Angriff bekannte sich die Ransomware-Gruppe PEAR, kurz für Pure Extraction and Ransom. Die Gruppe behauptet, 3,3 Terabyte an Daten aus den Systemen von MCBS exfiltriert zu haben. Neben den Kundendaten, die MCBS selbst in seiner Bekanntmachung als möglicherweise offengelegt bezeichnete, wollen die Angreifer nach eigener Darstellung auch Personaldaten, Details zum Geschäftsbetrieb, Zahlungsinformationen, E-Mail-Korrespondenz und verschiedene Datenbanken besitzen.

Diese Daten seien vollständig im Internet veröffentlicht worden, heißt es weiter. BleepingComputer teilte jedoch mit, den Datensatz nicht untersucht zu haben und die Echtheit der Behauptungen daher nicht bestätigen zu können.