Unlimited Technology Systems hat offengelegt, dass Angreifer Daten aus einem seiner kommerziellen Rechenzentren gestohlen haben. Das Unternehmen aus Montgomery im US-Bundesstaat Ohio bietet nach eigenen Angaben fortgeschrittene Finanz- und Revenue-Cycle-Technologie für Gesundheitsdienstleister und Organisationen an.
Laut der Firma wurde der Vorfall im Oktober 2025 entdeckt. Die anschließenden Ermittlungen ergaben demnach, dass Hacker zwischen dem 5. und 10. Oktober 2025 bestimmte Daten aus den Systemen des Unternehmens entwendeten.
Welche Informationen betroffen sind, beschreibt Unlimited in einem Benachrichtigungsschreiben an die Betroffenen, dessen Kopie beim Büro des Generalstaatsanwalts von Iowa eingereicht wurde. Demnach wurden persönliche Daten, medizinische Informationen und Angaben zur Krankenversicherung gestohlen.
Zu den entwendeten Datentypen zählen Namen, Anschriften, Telefonnummern, E-Mail-Adressen, Sozialversicherungsnummern, Nummern von Krankenakten, Diagnosen, Behandlungsdaten, Versicherungspolicennummern, Informationen zu Ansprüchen und Leistungen sowie gescannte Dokumente wie Führerscheine und behördliche Ausweisdokumente.
Zugleich betont das Unternehmen, dass die vom Vorfall betroffenen Daten keine vollständigen medizinischen Patientenakten, keine medizinischen Bilddaten und keine Finanzinformationen wie Kreditkarten- oder Bankkontodaten umfassen. Unlimited erklärt außerdem, man habe keine Hinweise auf einen versuchten oder tatsächlichen Missbrauch der kompromittierten Informationen.
Ende Juli meldete das Unternehmen dem US-Gesundheitsministerium HHS, dass 3.803.750 Personen betroffen seien. Am 6. August nahm das HHS Unlimited in sein Meldeportal für Datenschutzverletzungen auf.
Als Reaktion stellt Unlimited den Betroffenen nach eigenen Angaben für zwei Jahre kostenlose Kreditüberwachung, Beratung zu Betrugsfällen und Dienstleistungen zur Wiederherstellung nach Identitätsdiebstahl zur Verfügung.
Wer hinter dem Angriff steckt, hat das Unternehmen nicht benannt. Auch SecurityWeek hat nach eigenen Angaben keine bekannten Erpressungs- oder Ransomware-Gruppen gesehen, die die Tat für sich reklamiert hätten.