Aesto Health hat bekannt gegeben, dass mehr als 9,5 Millionen Menschen von einer Datenpanne betroffen waren, die geschützte Gesundheitsinformationen betrifft, die in den Systemen des Unternehmens gespeichert sind.
Aesto Health ist ein privates Gesundheitstechnologieunternehmen, das Software-as-a-Service-Lösungen für medizinische Organisationen bereitstellt. Seine Technologie wird verwendet, um Patientendaten zu migrieren, zu archivieren und darauf zuzugreifen, unter anderem bei Austausch elektronischer Patientenakten und bei Übernahmen von medizinischen Praxis. Das bedeutet, dass das Unternehmen sensible Informationen von Patienten zahlreicher Gesundheitsdienstleister speichern kann.
Laut einer Unterlage beim US-Gesundheitsministerium betraf der Vorfall 9.540.683 Personen und zählt damit zu den größten Datenpannen, die 2026 öffentlich gemacht wurden.
Der Einbruch selbst ereignete sich Monate bevor das gesamte Ausmaß des Vorfalls öffentlich wurde. Ein unbefugter Akteur hatte zwischen etwa dem 2. und 18. Dezember 2025 Zugang zu den betroffenen Systemen.
Aesto holte später externe Spezialisten hinzu, um eine forensische Untersuchung durchzuführen und potenziell kompromittierte Dokumente zu prüfen. Am 26. Mai 2026 stellte das Unternehmen fest, dass geschützte Gesundheitsinformationen von Patienten mehrerer Gesundheitsklienten während des Eingriffs abgerufen oder erhalten worden sein könnten.
Das Unternehmen gab den Cyberangriff am 24. Juni öffentlich bekannt und beschrieb die betroffene Umgebung zunächst als einen begrenzten Teil seiner Amazon Web Services-Infrastruktur.
Die offengelegten Informationen unterscheiden sich von Person zu Person, aber die kompromittierten Unterlagen können hochsensible persönliche, medizinische und finanzielle Details enthalten. Betroffene Informationen umfassen Namen, Geburtsdaten, medizinische Informationen, Krankenversicherungsdaten und Sozialversicherungsnummern.
Einige Unterlagen enthielten auch Führerscheinnummern, Finanzkontonummern, individuelle Steueridentifikationsnummern und andere von der Regierung ausgestellte Identifikationsnummern.
Da Aesto Gesundheitseinrichtungen Technologie zur Verfügung stellt und nicht hauptsächlich Patienten selbst behandelt, hat der Vorstoß Konsequenzen, die auch Organisationen in Anspruch nehmen. Der Vorfall hat Berichten zufolge Patienten betrachtet, die mit 29 Gesundheitsdienstleistern verbunden sind.
Aesto begann am 21. August mit dem Versand von Benachrichtigungen an betroffene Personen. Diejenigen, die Mitteilungen erhalten, erhalten über Experian 24 Monate Identitätsdiebstahlschutz und Kreditüberwachung.
Die Kombination aus Identitätsinformationen, Regierungskennungen, Finanzdaten und medizinischen Unterlagen macht die offengelegten Daten besonders sensibel. Im Gegensatz zu Passwörtern können Informationen wie Sozialversicherungsnummern und Krankengeschichten nicht einfach nach einer Sicherheitspanne ersetzt werden.
Aesto hat nicht öffentlich bekanntgegeben, wer für den Einbruch verantwortlich war. Bis zur letzten Bekanntgabe hatte keine Ransomware-Operation oder andere bekannte Bedrohungsgruppe öffentlich die Verantwortung für den Angriff übernommen.