Die nun bestätigte Zahl deckt sich in etwa mit der Größenordnung des Kundenstamms: Nach Angaben auf der eigenen Website betreute AdaptHealth mit Stand Juli 2024 rund 4,1 Millionen Patienten in allen 50 US-Bundesstaaten über ein Netz von 680 Standorten. Die Meldung an das US-Gesundheitsministerium nennt exakt 4.115.802 betroffene Personen.
Der Ablauf, wie ihn das Unternehmen darstellt: Die Kompromittierung erfolgte am 5. Juni, zehn Tage später kontaktierte ein zunächst nicht identifizierter Angreifer AdaptHealth und forderte eine Lösegeldzahlung, um die entwendeten Daten nicht zu veröffentlichen. Entdeckt wurde der Vorfall im Juli, die Offenlegung gegenüber der SEC datiert auf den 2. Juli 2026.
Betroffen waren laut Untersuchung cloudbasierte Geschäftsanwendungen — darunter bestimmte interne Patientenverwaltungssysteme, Dokumentenablagen und Portale zu Systemen für elektronische Patientenakten. Möglich wurde der Zugriff durch Social Engineering: Angreifer übernahmen das privilegierte Konto eines Drittanbieters beziehungsweise externen Auftragnehmers.
Betroffene sollten nach Unternehmensangaben inzwischen eine Benachrichtigung erhalten haben, die auch erklärt, wie sie sich für einen kostenlosen, zwölf Monate laufenden Dienst zur Kreditüberwachung und zum Identitätsschutz anmelden können. AdaptHealth erklärte, es lägen keine Hinweise auf Identitätsdiebstahl, Betrug oder anderweitigen Missbrauch der gestohlenen Daten vor.
Die Zuschreibung an ShinyHunters geht auf einen Bericht des HIPAA Journal zurück, das sich darauf stützte, dass die Gruppe das Unternehmen auf ihre Opferliste gesetzt hatte. BleepingComputer konnte auf dem Erpressungsportal von ShinyHunters allerdings keinen Eintrag zu AdaptHealth finden — ein Indiz dafür, dass die Gruppe das Unternehmen dort wieder entfernt hat.
AdaptHealth ist nicht der einzige Fall im US-Gesundheitssektor: Zuletzt hatten die Gesundheits-IT-Anbieter Aesto Health, CareCloud und Unlimited Technology Systems vergleichbare Vorfälle offengelegt. Aesto Health spricht von mehr als 9,5 Millionen betroffenen Patienten, bei CareCloud sind 3,7 Millionen Patienten betroffen. Auch McKesson und Nutex Health machten kürzlich Datenabflüsse öffentlich; in beiden Fällen ist die Zahl der Betroffenen bislang nicht bestimmt. Im Fall McKesson erfolgte die Offenlegung, nachdem ShinyHunters den Diebstahl von Patientendaten behauptet hatte.