AdaptHealth meldet: Angriff auf Auftragnehmer legte Patienten- und Abrechnungsdaten offen

AdaptHealth hat offengelegt, dass Angreifer durch Social Engineering über einen Drittanbieter in die Cloud-Umgebung des Unternehmens eindrangen und dabei sensible Patienteninformationen sowie Zugangsdaten im Zusammenhang mit Versicherungsabrechnungen offenlegten.

In einer Mitteilung an die US-Börsenaufsichtsbehörde Securities and Exchange Commission erklärte der in Pennsylvania ansässige Anbieter medizinischer Geräte für die häusliche Versorgung, dass die Eindringlinge auf interne Tools zur Patientenverwaltung, Systeme zur Dokumentenspeicherung und Portale mit Verbindungen zu externen Plattformen für elektronische Gesundheitsakten zugreifen konnten. Das Unternehmen erklärte, es sei am 15. Juni auf den Vorfall aufmerksam geworden, als der Angreifer die Organisation kontaktierte und den Diebstahl meldete.

Welche Daten wurden gestohlen?

Nach Angaben von AdaptHealth umfasst das gestohlene Material eine Datei mit Passwörtern für die Versicherungsabrechnung sowie personenbezogene und geschützte Gesundheitsdaten einiger Patienten. Das Unternehmen erklärte, es gehe nicht davon aus, dass Sozialversicherungsnummern oder Zahlungskartendaten betroffen seien.

AdaptHealth machte keine Angaben dazu, ob der Vorfall mit einer Erpressungsforderung verbunden war oder ob eine Zahlung geleistet wurde. Zum Zeitpunkt der Offenlegung hatte keine bekannte Ransomware- oder Erpressergruppe die Verantwortung übernommen.

Reaktion des Unternehmens und Untersuchung

Nachdem AdaptHealth von dem Eindringen erfahren hatte, aktivierte das Unternehmen nach eigenen Angaben seinen Prozess zur Reaktion auf Sicherheitsvorfälle, deaktivierte das Konto des Auftragnehmers, setzte Zugangsdaten zurück und fügte weitere Zugriffskontrollen hinzu. Das Unternehmen erklärte, es gehe davon aus, dass der Vorfall inzwischen eingedämmt sei. Die Untersuchung dauere jedoch noch an, um das gesamte Ausmaß der Offenlegung zu ermitteln.

Am 27. Juni kam AdaptHealth zu dem Schluss, dass der Datenschutzverstoß aufgrund der Art und des möglichen Umfangs der gefährdeten Daten wesentlich war, wodurch die Pflicht zur Einreichung einer Meldung bei der SEC ausgelöst wurde. Das Unternehmen erklärte außerdem, es habe Maßnahmen ergriffen, um die Wahrscheinlichkeit zu verringern, dass die gestohlenen Informationen verbreitet oder missbraucht werden.

• Angriffsweg: Social Engineering über einen Drittanbieter
• Aufgerufene Systeme: Patientenverwaltung, Dokumentenspeicherung und EHR-Portale
• Offengelegte Daten: Patienteninformationen, Gesundheitsakten und Passwörter für die Abrechnung
• Nach derzeitiger Einschätzung nicht betroffen: Sozialversicherungsnummern und Zahlungsdaten

AdaptHealth wurde 2012 gegründet und bietet Geräte und Dienstleistungen in den Bereichen Atemwegserkrankungen, Schlaf und Diabetes an. In einem Jahresbericht für 2024 erklärte das Unternehmen, es versorge mehr als 4,2 Millionen Patienten in allen 50 US-Bundesstaaten.