Pelanggaran data di perusahaan penagihan medis MCBS berdampak pada 1,26 juta orang

Perusahaan penagihan layanan kesehatan Medical Computer Business Services (MCBS) telah mengungkapkan bahwa pelanggaran jaringan pada tahun 2025 mengungkap informasi sensitif lebih dari 1,2 juta orang.

Insiden keamanan ini diungkapkan akhir bulan lalu tanpa rincian mengenai jumlah orang yang berpotensi terkena dampak. Dalam pengungkapannya kepada Departemen Kesehatan dan Layanan Kemanusiaan AS, perusahaan melaporkan bahwa 1.261.464 orang terkena dampaknya.

MCBS adalah perusahaan penagihan dan manajemen praktik medis swasta regional yang berkantor pusat di Augusta, Georgia, yang menyediakan layanan penagihan, pengkodean, piutang, keuangan, dan administrasi untuk organisasi layanan kesehatan.

Perusahaan bertindak sebagai agregator data layanan kesehatan, memproses catatan pasien untuk penyedia layanan kesehatan.

Pada akhir Juni, MCBS menerbitkan pemberitahuan di situs webnyamenginformasikan bahwa pelaku ancaman telah memperoleh akses tidak sah ke jaringannya antara tanggal 22 dan 26 September 2025.

Perusahaan kemudian melakukan penyelidikan untuk menentukan cakupan dan dampak insiden tersebut, dan menyelesaikannya pada tanggal 28 Mei tahun ini, dan menentukan bahwa data berikut mungkin telah terungkap:

• Nama lengkap
• Alamat fisik
• Nomor Jaminan Sosial
• Tanggal lahir
• Nomor penerima manfaat rencana kesehatan
• Nomor polis asuransi kesehatan
• Nomor identifikasi pelanggan
• Riwayat medis
• Kondisi mental dan fisik
• Informasi perawatan medis
• Informasi diagnosa

Perlu dicatat bahwa data yang terpapar berbeda-beda pada setiap individu.

Pemberitahuan tersebut juga mencantumkan tujuh “entitas yang tercakup,” yang menunjukkan penyedia layanan kesehatan yang data pasiennya ditangani MCBS sebagai rekan bisnis, termasuk Konsultan Radiologi South Georgia, SkinPath Solutions, dan Stephen W. Brown dan Radiology Associates.

MCBS mendesak individu yang berpotensi terkena dampak untuk memberikan peringatan penipuan dan mempertimbangkan untuk membekukan keamanan pada file kredit mereka.

Individu yang telah menerima layanan medis di Georgia disarankan untuk menghubungi penyedia layanan kesehatan mereka untuk mengetahui apakah layanan tersebut berfungsi dengan MCBS dan apakah informasi pribadi mereka mungkin terpengaruh oleh insiden tersebut.

Serangan tersebut diklaim oleh kelompok ransomware PEAR (Pure Extraction and Ransom), yang menuduh mereka mengambil 3,3 terabyte data dari sistem MCBS.

Selain data klien yang disoroti perusahaan seperti terungkap dalam pengumumannya, pelaku ancaman juga mengklaim menyimpan data sumber daya manusia, rincian operasi bisnis, informasi pembayaran, korespondensi email, dan berbagai database.

Data telah sepenuhnya bocor secara online, namun BleepingComputer tidak memeriksa cache dan tidak dapat memvalidasi keasliannya.