Aesto Health arbeitet als Dienstleister für Gesundheitseinrichtungen und verwahrt in dieser Rolle große Bestände an Patientendaten. Genau diese Daten sind nun betroffen: Nach Darstellung des Unternehmens wurde ein begrenzter Teil seiner Amazon-Web-Services-Infrastruktur kompromittiert.
In der eigenen Stellungnahme heißt es: „Nach einer umfangreichen forensischen Untersuchung und einer manuellen Dokumentenprüfung haben wir am 26. Mai 2026 bestätigt, dass zwischen etwa dem 2. Dezember 2025 und dem 18. Dezember 2025 bestimmte geschützte Gesundheitsinformationen von Patienten verschiedener Covered-Entity-Kunden, die im Netzwerk von Aesto gespeichert waren, von einem unbefugten Akteur eingesehen und/oder erlangt worden sein könnten."
Zwischen dem Einbruch, seiner internen Bestätigung und der öffentlichen Mitteilung am 24. Juni liegen damit mehrere Monate. Die Benachrichtigung der einzelnen Betroffenen begann noch später: Erst am 21. August verschickte das Unternehmen Schreiben mit Einzelheiten zum Vorfall und einer Anleitung, wie sich Betroffene für einen 24-monatigen Schutz vor Identitätsdiebstahl samt Kreditüberwachung über Experian registrieren können.
Der Umfang der betroffenen Datenkategorien ist beträchtlich. Laut Aesto Health umfassen die Informationen vollständige Namen, Geburtsdaten, medizinische Angaben, Führerscheinnummern, Finanzkontonummern, Angaben zur Krankenversicherung, individuelle Steueridentifikationsnummern, weitere staatliche Ausweisnummern sowie Sozialversicherungsnummern.
Da Aesto Health als Auftragsverarbeiter für zahlreiche Kunden tätig ist, reicht die Wirkung des Vorfalls weit über das Unternehmen hinaus. Dem HIPAA Journal zufolge sind indirekt 29 Gesundheitsdienstleister betroffen, darunter VillageMD, Everside Health (Marathon Health), Marana Health und Together Women’s Health.
Zum Zeitpunkt der Berichterstattung hat keine Tätergruppe den Angriff öffentlich für sich reklamiert. Auch zur Art des Erstzugriffs auf die Cloud-Umgebung macht das Unternehmen keine näheren Angaben.
Der Fall reiht sich in eine Serie vergleichbarer Vorfälle bei Softwareanbietern im Gesundheitssektor ein. Betroffen waren zuletzt unter anderem iRhythm, Xolis, Medronic, MCBS, Health-ISAC, Unlimited Technology Systems, CareCloud, Nutex Health und McKesson. Bei CareCloud waren nach früheren Berichten 3,7 Millionen Patienten betroffen; McKesson legte einen Vorfall offen, nachdem die Gruppe ShinyHunters den Diebstahl von Patientendaten für sich beansprucht hatte.