Telset.id – Perusahaan teknologi kesehatan asal Amerika Serikat, Aesto Health, mengonfirmasi telah menjadi korban serangan siber yang mengakibatkan kebocoran data lebih dari 9,5 juta pasien. Insiden ini tercatat sebagai pelanggaran data kesehatan terbesar kedua tahun ini.
Serangan tersebut terjadi pada pertengahan Desember 2025 lalu. Namun, perusahaan baru melaporkan insiden ini ke Office for Civil Rights di bawah naungan HHS (Departemen Kesehatan dan Layanan Kemanusiaan AS) lebih dari enam bulan kemudian, dengan merinci data apa saja yang hilang dan siapa saja yang terdampak. Pengumuman resmi pertama kali dimuat di situs perusahaan pada 24 Juni, sementara investigasi forensik baru rampung pada 26 Mei 2026.
Aesto Health merupakan perusahaan teknologi kesehatan yang berbasis di Alabama. Layanan inti perusahaan ini adalah membantu firma kesehatan lain dalam mengelola data medis, mengganti sistem catatan kesehatan elektronik, serta layanan serupa lainnya.
Berdasarkan pengumuman resmi, serangan ini menargetkan sebagian infrastruktur Amazon Web Services (AWS) milik perusahaan. Aktor ancaman yang tidak teridentifikasi berhasil mengakses sistem tersebut antara 2 Desember hingga 18 Desember 2025.
Data Pribadi dan Medis yang Hilang
Menurut laporan HIPAA Journal, serangan ini memengaruhi lebih dari dua lusin klien Aesto Health. Jumlah pastinya mencapai 29 organisasi berbeda, termasuk Edwards County Medical Center, Marana Health, My Doctor LLC, Nebraska Orthopedic Center, Women’s Health Associates, Village Practice Management, Everside Health, dan Together Women’s Health Medical Group.
Dalam laporan resminya, Aesto Health mengonfirmasi bahwa kebocoran ini memengaruhi 9.540.683 orang. Dalam serangan ini, perusahaan kehilangan informasi identitas pribadi (PII) pasien dari klien-kliennya. Data yang bocor mencakup nama lengkap, tanggal lahir, nomor Jaminan Sosial (SSN), nomor SIM, nomor identifikasi negara bagian, nomor rekening keuangan, nomor identifikasi wajib pajak, catatan kesehatan, riwayat medis, informasi klaim atau tagihan, serta informasi asuransi kesehatan.
Informasi sebanyak ini sudah lebih dari cukup bagi pelaku kejahatan siber untuk meluncurkan serangan phishing dan vishing yang sangat canggih. Serangan semacam ini dapat berujung pada ransomware yang mengganggu operasional serta kerugian finansial hingga jutaan dolar.
Belum Ada Bukti Kebocoran di Dark Web
Kabar baiknya, hingga saat ini belum ada bukti bahwa data tersebut telah bocor di dark web atau sudah digunakan oleh pelaku kejahatan lain. Berbeda dengan sejumlah serangan lain yang diklaim oleh kelompok peretas ShinyHunters, tidak ada kelompok ancaman yang secara publik mengklaim serangan terhadap Aesto Health ini.
Aesto Health mulai mengirimkan surat pemberitahuan kepada individu yang terdampak pada 21 Agustus. Perusahaan menawarkan layanan pemantauan kredit dan perlindungan identitas melalui Experian kepada semua pihak yang terkena dampak pelanggaran ini.
Insiden ini kini tercatat sebagai pelanggaran data kesehatan terbesar kedua tahun ini, sebagaimana dikonfirmasi oleh HIPAA Journal. Pelanggaran terbesar masih dipegang oleh serangan terhadap DentaQuest yang mengekspos 15 juta catatan.
Baca Juga:
Risiko Serangan Phishing dan Vishing
Kebocoran data dalam skala besar seperti ini membuka peluang besar bagi pelaku kejahatan siber untuk melakukan berbagai serangan lanjutan. Data pribadi seperti nomor Jaminan Sosial dan informasi keuangan merupakan komoditas berharga di pasar gelap. Para ahli memperingatkan bahwa pelaku bisa memanfaatkan informasi ini untuk meluncurkan serangan phishing yang ditargetkan, lengkap dengan tautan berbahaya atau bahkan malware.
Para ahli keamanan siber kerap mengingatkan bahwa kombinasi data pribadi dan medis yang lengkap dapat digunakan untuk serangan yang sangat tertarget. Serangan phishing yang menggunakan informasi pribadi korban cenderung lebih meyakinkan dan sulit dideteksi.
Meskipun belum ada bukti penyalahgunaan data, para korban tetap disarankan untuk waspada terhadap komunikasi mencurigakan yang mengatasnamakan institusi kesehatan atau lembaga keuangan. Jika menerima surat pemberitahuan dari Aesto Health, segera manfaatkan layanan perlindungan Experian yang ditawarkan. Perlu diingat, surat pemberitahuan dikirim melalui pos konvensional, jadi periksa kotak surat secara rutin.
Insiden ini menambah daftar panjang serangan siber terhadap perusahaan kesehatan, termasuk CareCloud, Nutex Health, iRhythm, dan McKesson yang juga menjadi korban serangan serupa dengan skala bervariasi dari ratusan ribu hingga jutaan catatan. Tren ini menunjukkan bahwa sektor kesehatan semakin menjadi target utama peretas. Perusahaan teknologi kesehatan yang menjadi korban serangan siber juga perlu memperketat protokol keamanan mereka mengingat tren serangan terhadap sektor ini terus meningkat. Untuk memahami lebih jauh bagaimana data pribadi bisa disalahgunakan, Anda dapat membaca kasus SIM AS yang juga pernah bocor di dark web.
Komentar
Belum ada komentar.