Nach dem Erkennen des Eindringens zog Nutex externe Spezialisten für Incident Response und Forensik hinzu, aktivierte seinen Notfallplan für Cybersicherheitsvorfälle, setzte Maßnahmen zur Eindämmung um und informierte die Strafverfolgungsbehörden.
Welche Informationen tatsächlich abgeflossen sind, ist weiterhin Gegenstand der Untersuchung. In der SEC-Meldung heißt es, das Unternehmen prüfe weiterhin, „ob und in welchem Umfang Informationen zu Patienten, Beschäftigten, zugelassenen Leistungserbringern, vertrauliche Geschäfts- und Finanzinformationen, geistiges Eigentum oder andere Informationen abgerufen, erlangt oder exfiltriert wurden". Ebenso werde weiterhin bewertet, welche Folgen die unbefugte Aktivität für das Unternehmen haben könnte — einschließlich einer möglichen Veröffentlichung privater oder vertraulicher Informationen durch den Dritten.
Zum Stand vom 24. August habe man keine erheblichen Auswirkungen auf den Betrieb oder auf die Systeme der Finanzberichterstattung festgestellt. Nutex geht derzeit auch nicht davon aus, dass der Vorfall die Geschäftsstrategie, den Betrieb, die Finanzlage oder die Ergebnisse wesentlich beeinträchtigen wird.
Eine Zuordnung des Angriffs ist bislang nicht möglich: BleepingComputer konnte keine Bekennung durch einen Bedrohungsakteur finden. Eine Anfrage an Nutex zu dem Vorfall blieb zum Zeitpunkt der Veröffentlichung unbeantwortet.
Der Fall reiht sich in eine Serie von Datenabflüssen im Gesundheitssektor ein. So war zuletzt beim Healthtech-Unternehmen CareCloud ein Datenleck mit 3,7 Millionen betroffenen Patienten bekannt geworden, bei Unlimited Technology Systems waren 3,8 Millionen Personen betroffen, beim Abrechnungsdienstleister MCBS 1,26 Millionen. Amgen erklärte, ein Cloud-Datenleck habe Gesundheitsdaten von Patienten sowie firmeneigene Informationen offengelegt. Health-ISAC warnte zudem vor zunehmenden Datendiebstahl-Angriffen der Gruppe ShinyHunters auf Einrichtungen im Gesundheitswesen.