Datainnbrudd hos MCBS rammer 1,26 millioner personer

Datainnbruddet hos MCBS har rammet 1 261 464 personer, ifølge en ny melding til det amerikanske helse- og sosialdepartementet.

Medical Computer Business Services, MCBS, offentliggjorde sikkerhetshendelsen i slutten av juni. Selskapet, som leverer tjenester innen medisinsk fakturering, opplyste at angripere hadde tilgang til nettverket i flere dager i september 2025.

MCBS undersøkte deretter innbruddet og fullførte gjennomgangen 28. mai 2026. Selskapet fant at sensitive person-, forsikrings- og helseopplysninger kan ha blitt eksponert.

Angripere hadde tilgang til MCBS-systemer i september 2025

MCBS opplyser at uautoriserte aktører hadde tilgang til selskapets nettverk mellom 22. og 26. september 2025.

Selskapet tilbyr tjenester innen fakturering, koding, kundefordringer, økonomi og administrasjon til helseorganisasjoner. MCBS holder til i Augusta i Georgia og behandler pasientopplysninger på vegne av helseleverandører.

Datainnbruddet hos MCBS kan derfor påvirke pasienter som har mottatt behandling fra en av helseleverandørene som bruker selskapets tjenester.

MCBS oppga syv berørte helseorganisasjoner i varselet. Blant dem er South Georgia Radiology Consultants, SkinPath Solutions og Stephen W. Brown and Radiology Associates.

Sensitive helse- og identitetsopplysninger kan være eksponert

Hvilke opplysninger som ble eksponert i datainnbruddet, varierer fra person til person. MCBS opplyser imidlertid at de berørte dataene kan omfatte:

• Fullstendige navn og fysiske adresser
• Social Security-numre og fødselsdatoer
• Helseplan- og forsikringspolisenumre
• Abonnent-ID-numre
• Medisinsk historikk og behandlingsinformasjon
• Opplysninger om psykiske og fysiske helsetilstander
• Diagnoseinformasjon

Kombinasjonen av identitets-, forsikrings- og helseopplysninger innebærer en betydelig risiko for de berørte. Kriminelle kan bruke informasjonen til identitetstyveri, forsikringssvindel og målrettede phishing-angrep.

PEAR-ransomwaregruppen tar på seg ansvaret

Ransomwaregruppen PEAR, også kjent som Pure Extraction and Ransom, har tatt på seg ansvaret for angrepet.

Gruppen hevder å ha stjålet 3,3 TB data fra MCBS-systemene. Den hevder også at filene inneholder personalopplysninger, betalingsinformasjon, forretningsinformasjon, e-postkommunikasjon og databaser.

Gruppen har publisert data på nettet som den hevder stammer fra MCBS. Ektheten og det fullstendige innholdet i materialet er imidlertid ikke uavhengig bekreftet.

MCBS har ikke bekreftet gruppens påstander om mengden eller kategoriene av stjålne data utover informasjonen som er oppgitt i selskapets eget varsel om datainnbruddet.

Hva potensielt berørte pasienter bør gjøre

MCBS anbefaler berørte personer å legge inn et svindelvarsel på kredittfilene sine. Selskapet anbefaler også å vurdere en kredittsperre, som begrenser tilgangen til en kredittrapport og kan gjøre det vanskeligere for andre å åpne nye kontoer i en annen persons navn.

Personer som har mottatt helsetjenester i Georgia, bør kontakte helseleverandøren sin for å spørre om den bruker MCBS og om opplysningene deres kan være berørt.

Personer som kan ha blitt rammet, bør også være oppmerksomme på mistenkelige forsikringsoppgaver, medisinske regninger og meldinger som ber om personopplysninger. Helserelaterte phishing-angrep bruker ofte ekte navn på helseleverandører og informasjon fra varsler om datainnbrudd for å fremstå som troverdige.

Datainnbruddet hos MCBS viser risikoen som oppstår når helseleverandører er avhengige av eksterne selskaper for fakturering og administrasjon. Et innbrudd hos én tjenesteleverandør kan sette sensitive opplysninger fra flere helseorganisasjoner i fare.