Aesto Health ha rivelato che più di 9,5 milioni di persone sono state colpite da una violazione dei dati che coinvolgeva informazioni sanitarie protette conservate nei sistemi dell’azienda.
Aesto Health è una società privata di tecnologia sanitaria che fornisce soluzioni software-as-a-service alle organizzazioni mediche. La sua tecnologia viene utilizzata per migrare, archiviare e accedere alle informazioni dei pazienti, anche durante la sostituzione di sistemi di cartelle cliniche elettroniche e le acquisizioni di studi medici. Ciò significa che l’azienda può detenere informazioni sensibili appartenenti ai pazienti di numerosi operatori sanitari.
Secondo un documento presentato al Dipartimento della Salute e dei Servizi Umani degli Stati Uniti, l’incidente ha coinvolto 9.540.683 persone, diventando una delle più grandi violazioni dei dati sanitari rivelate nel 2026.
L’intrusione stessa è avvenuta mesi prima che la portata completa dell’incidente diventasse pubblica. Un attore non autorizzato aveva accesso ai sistemi interessati tra il 2 e il 18 dicembre 2025.
Successivamente Aesto ha coinvolto specialisti esterni per condurre un’indagine forense e esaminare documenti potenzialmente compromessi. Il 26 maggio 2026, l’azienda ha stabilito che informazioni sanitarie protette appartenenti a pazienti di diversi clienti sanitari potrebbero essere state accedute o acquisite durante l’intrusione.
L’azienda ha reso pubblico l’attacco informatico il 24 giugno, descrivendo inizialmente l’ambiente interessato come una parte limitata della sua infrastruttura Amazon Web Services.
Le informazioni esposte variano tra gli individui, ma i documenti compromessi possono contenere dettagli personali, medici e finanziari altamente sensibili. Le informazioni interessate includono nomi, date di nascita, informazioni mediche, dati dell’assicurazione sanitaria e numeri di previdenza sociale.
Alcuni documenti contenevano anche numeri di patente di guida, numeri di conto finanziario, numeri di identificazione dei contribuenti individuali e altri numeri di identificazione rilasciati dal governo.
Poiché Aesto fornisce tecnologia alle organizzazioni sanitarie invece di curare principalmente i pazienti, la violazione ha conseguenze che si estendono anche alle organizzazioni che utilizzano i suoi servizi. L’incidente avrebbe colpito pazienti associati a 29 operatori sanitari.
Aesto ha iniziato a inviare notifiche alle persone interessate il 21 agosto. A chi riceve avvisi viene offerta una protezione contro il furto d’identità e il monitoraggio del credito per 24 mesi tramite Experian.
La combinazione di informazioni d’identità, identificatori governativi, dettagli finanziari e cartelle cliniche rende i dati esposti particolarmente sensibili. A differenza delle password, informazioni come numeri di previdenza sociale e storie mediche non possono semplicemente essere sostituite dopo una violazione.
Aesto non ha ancora identificato pubblicamente chi sia stato responsabile dell’intrusione. Alla data dell’ultima divulgazione, nessuna operazione ransomware o altro gruppo minaccioso noto aveva pubblicamente rivendicato la responsabilità dell’attacco.