Nach Angaben von Unlimited Technology Systems begann der Vorfall mit unbefugten Aktivitäten im kommerziellen Rechenzentrum des Unternehmens. In einer Offenlegung vom 20. Juli 2026 teilte die Firma mit, sie habe am 19. Oktober 2025 verdächtige Aktivitäten entdeckt und daraufhin mit Unterstützung eines forensischen Cybersicherheitsunternehmens Ermittlungen aufgenommen.
Diese Untersuchung ergab laut Unternehmen, dass ein unbefugter Akteur zwischen dem 5. Oktober 2025 und dem 10. Oktober 2025 auf bestimmte Dateien zugegriffen hat. Dabei könnten Kopien personenbezogener Informationen von Patienten erlangt worden sein, deren Gesundheitsdienstleister von Unlimited Technology Systems betreut werden.
Das U.S. Department of Health and Human Services führt den Vorfall inzwischen mit 3.803.750 Betroffenen. Dort ist vermerkt, dass ein Unternehmensserver kompromittiert wurde und die Daten einer unbefugten Partei offengelegt waren. Welche konkreten Datentypen potenziell betroffen waren, geht aus dem vorliegenden Quelltext nicht hervor; genannt wird lediglich, dass sensible persönliche Informationen betroffen sein könnten.
Unlimited Technology Systems arbeitet als Dienstleister im Hintergrund für Gesundheitseinrichtungen. Deshalb haben betroffene Patienten nach Angaben im Quelltext in der Regel keine direkte Beziehung zu dem Unternehmen selbst. Entsprechend könne eine Benachrichtigung über eine Datenpanne von Unlimited Technology Systems für Empfänger verwirrend sein.
Das Unternehmen meldete den Vorfall den Strafverfolgungsbehörden und begann am 1. Juli 2026 mit dem Versand von Benachrichtigungen an betroffene Patienten. Laut dieser Mitteilung hat bislang weder eine Ransomware- noch eine Datenerpressungsgruppe öffentlich die Verantwortung übernommen. Auch die Täter konnte Unlimited Technology Systems nach eigenen Angaben bisher nicht identifizieren.
Um Risiken infolge der Offenlegung sensibler Daten zu mindern, bot das Unternehmen den Empfängern der Benachrichtigungen Identitätsüberwachungsdienste über Kroll an.