1,26 millioner personers helsedata stjålet i datainnbrudd: Medisinsk fakturafirma varsler ofre

Selskapet MCBS, LLC, som håndterer fakturering og inntektsstyring for en rekke amerikanske helseforetak, bekrefter at datainnbruddet rammet 1.261.464 personer. Tallet er nå ført inn i databasen til det amerikanske helsedepartementet (HHS), som fører offentlig register over alle større brudd i helsesektoren.

Selskapet publiserte selv varselet på sine nettsider i slutten av juni, etter at den forensiske gjennomgangen ble avsluttet 28. mai 2026. Ifølge egen redegjørelse skjedde den uautoriserte tilgangen mellom 22. og 25. september 2025. Aktiviteten ble oppdaget rundt 25. september, og en gransking ble innledet umiddelbart sammen med eksterne sikkerhetseksperter.

Sensitive helseopplysninger eksponert

De kompromitterte opplysningene omfatter navn, adresse, amerikansk personnummer (Social Security number), fødselsdato, forsikringsopplysninger, sykehistorikk, psykiske og fysiske helsetilstander samt behandlings- og diagnoseinformasjon.

MCBS opplyser at de foreløpig ikke har sett tegn på at opplysningene er misbrukt til identitetstyveri. Selskapet oppfordrer likevel de rammede til å legge et ett års varsel om svindelrisiko på kredittopplysningene sine, og til å vurdere en fullstendig kredittsperre.

Les også: Billig lader fra nettbutikken kan ta fyr mens du sover: Disse tre merkene på pakken viser om din er trygg

Selv om MCBS ikke er et navn de fleste sluttbrukere kjenner, håndterer selskapet regningsflyten for sju amerikanske klinikker og medisinske spesialister, blant dem South Georgia Radiology Consultants, SkinPath Solutions og Radiation Oncology Associates. Det er pasientene ved disse virksomhetene som nå står oppført i den føderale bruddsdatabasen.

Ransomware-gruppe krever løsepenger

Bak angrepet står den relativt nye kriminelle grupperingen PEAR, som står for «Pure Extortion and Ransom». Gruppen tok ansvar for angrepet allerede 30. september 2025 og hevder å ha stjålet over tre terabyte data fra MCBS.

I motsetning til klassiske ransomware-aktører krypterer PEAR ikke offerets filer. Modellen er ren utpressing: dataene stjeles, og publiseres på en lekkasjeside dersom løsepengene ikke betales. Siden gruppen dukket opp sommeren 2025, har den ført opp over 100 påståtte ofre på lekkasjesiden sin.

Helsesektoren under vedvarende press

Angrepet mot MCBS er PEARs største helsebrudd hittil. Tidligere i år ble rundt 766.000 personer rammet av et angrep mot Motility Software Solutions og 200.000 av et angrep mot Tri-Century Eye Care, som begge også tilskrives den samme gruppen.

Les også: Ikonisk Mitsubishi Pajero er tilbake: Debut bekreftet med 2,4-liters twin-turbo bensin og hybrid

For norske lesere er saken en påminnelse om at pasientdata sjelden ligger hos ett selskap alene. Fakturaselskaper, journalsystemer og laboratorietjenester håndterer sensitive opplysninger på vegne av mange klinikker samtidig, og et enkelt sikkerhetsbrudd hos en slik underleverandør kan derfor ramme pasienter på tvers av en hel bransje.

Les også: Bruker du Google Home fra bilen: Denne Android Auto-feilen stopper rutinene dine