Die Größenordnung des Vorfalls wurde erst durch die Meldung an das US-Gesundheitsministerium bekannt. In seiner Mitteilung aus dem Juni hatte Aesto lediglich bestätigt, dass Unbefugte zwischen dem 2. und dem 18. Dezember Zugriff auf die Amazon-Web-Services-Umgebung des Unternehmens hatten und dabei Datenbestände zu Patienten der Aesto-Kunden kopierten.
Der Umfang der betroffenen Datenkategorien ist beträchtlich: Namen, Sozialversicherungsnummern, medizinische Informationen, Führerscheinnummern, Finanzkontonummern und Angaben zur Krankenversicherung. Aesto hat in mehreren US-Bundesstaaten Meldungen im Namen seiner Kunden eingereicht, darunter für Together Women’s Health in Texas und Kalifornien.
Die besondere Rolle des Unternehmens erklärt die hohe Zahl der Betroffenen: Aesto übernimmt Datenmigration und Archivierung für medizinische Einrichtungen, die auf neue Technik umstellen oder den Anbieter ihrer elektronischen Patientenakte wechseln, und begleitet Gesundheitsorganisationen bei Übernahmen. Auf diese Weise laufen Bestände aus mindestens 30 Gesundheitsorganisationen in seinen Systemen zusammen.
Ein Bekennerschreiben liegt nicht vor: Keine Angreifergruppe hat den Vorfall öffentlich für sich beansprucht, und Aesto beantwortete Presseanfragen nicht.
Der Fall ist nicht der einzige in der Branche. Baylor Genetics teilte den US-Behörden ebenfalls in dieser Woche mit, dass bei einem Sicherheitsvorfall im Juni Daten von mehr als 2,8 Millionen Menschen entwendet wurden, darunter Informationen zu medizinischen Untersuchungen und Laborergebnisse. Weitere 3,7 Millionen Menschen waren von einem Vorfall im März beim Anbieter elektronischer Patientenakten CareCloud betroffen.
Zudem haben die Gesundheitsunternehmen McKesson, Nutex und Paylogix in den vergangenen zwei Wochen Cyberangriffe gemeldet, bei denen Patienten- und Kundendaten betroffen waren.
Park Dental Partners informierte die US-Börsenaufsicht SEC am Dienstagabend über einen Angriff aus der vergangenen Woche. Das Unternehmen setzte daraufhin seine Notfallprozesse in Gang und zog externe Sicherheitsfachleute hinzu. Der Geschäftsbetrieb sei nicht beeinträchtigt worden; die Meldung an die SEC erfolgte nach eigenen Angaben „wegen des möglichen Zugriffs auf Patientendaten".