Betroffen ist Lifespan Physician Group of Massachusetts, die unter dem Namen Brown Health Medical Group-MA auftritt. Nach Angaben des Gesundheitsdienstleisters verschafften sich Angreifer im Dezember 2025 an dessen Standort Hawthorn Zugriff auf einen historischen Datei-Server. Erst am 22. Juni 2026 habe die Organisation festgestellt, dass Dateien mit personenbezogenen Informationen eingesehen wurden.
Nach Angaben von Brown Health Medical Group-MA blieb das elektronische Gesundheitsaktensystem der Praxis von dem Vorfall unberührt. Kompromittiert wurden stattdessen Dateien auf dem betroffenen Server. In dem bei der Massachusetts Office of Consumer Affairs and Business Regulation eingereichten Benachrichtigungsschreiben heißt es, dass dabei persönliche Informationen entwendet wurden.
Zu den potenziell betroffenen Daten zählen Namen, Kontaktdaten, Geburtsdaten, Sozialversicherungsnummern, Führerscheinnummern und sonstige staatliche Ausweisnummern. Hinzu kommen medizinische Unterlagen und Informationen zu Behinderungen sowie Finanzkontoinformationen und Kredit- oder Debitkartennummern.
Darüber hinaus waren laut der Organisation auch Personal- und Personalakten betroffen, darunter Informationen zu Gehaltsabrechnung und Vergütung. Ebenfalls kompromittiert wurden Angaben zu Lizenzen oder beruflichen Qualifikationsnachweisen. Brown Health Medical Group-MA betont jedoch, dass nicht bei allen Betroffenen sämtliche Datenkategorien betroffen waren.
Dem US Department of Health and Human Services meldete die Organisation insgesamt 311.760 Betroffene. Davon sind 290.357 Einwohner von Massachusetts. Damit zählt der Vorfall zu den größeren im Gesundheitssektor, die dort aktuell offengelegt wurden.
Brown Health Medical Group-MA erklärte, den betroffenen Server unmittelbar nach Entdeckung des Vorfalls isoliert zu haben. Zudem habe die Organisation zusätzliche Schutzmaßnahmen umgesetzt und schule ihre Beschäftigten erneut.
Den Betroffenen bietet Brown Health Medical Group-MA für zwei Jahre kostenlose Dienste zur Betrugserkennung sowie zum Identitätsschutz und zur Wiederherstellung der Identität an. Einen verantwortlichen Bedrohungsakteur nannte die Organisation nicht. Auch SecurityWeek hat nach eigenen Angaben keine bekannten Ransomware- oder Erpressungsgruppen gesehen, die die Tat für sich reklamiert hätten.