De Amerikaanse GGZ-zorgverlener Brightline heeft de privégegevens van 783.000 patiënten gelekt, waaronder naam, adresgegevens, geboortedatum en naam van werkgever. Brightline biedt geestelijke gezondheidszorg en gedragstherapie aan kinderen en gezinnen. Het werkt daarbij samen met allerlei zorginstellingen, organisaties en bedrijven.

Eind maart werd al bekend dat Brightline één van de organisaties is die slachtoffer werd van een zerodaylek in Fortra GoAnywhere. GoAnywhere is een door softwarebedrijf Fortra ontwikkelde oplossing voor het uitwisselen van bestanden. Via een kwetsbaarheid, aangeduid als CVE-2023-0669, is het mogelijk voor een ongeauthenticeerde aanvaller om willekeurige code op het systeem uit te voeren. Voor het uitvoeren van de aanval moet een aanvaller wel eerst toegang tot de beheerdersconsole hebben.

De console zou normaliter alleen toegankelijk vanaf het bedrijfsnetwerk, via een vpn of een select aantal ip-adressen moeten zijn. Onderzoekers ontdekten echter dat bij veel organisaties de console voor iedereen gewoon toegankelijk vanaf het internet is. Het beveiligingslek werd al voor dat Fortra een update uitbracht misbruikt. De Clop-ransomwaregroep, die voor de aanvallen verantwoordelijk is, claimt dat het bij meer dan honderddertig organisaties heeft toegeslagen.

Op basis van cijfers die Brightline met het Amerikaanse ministerie van Volksgezondheid deelde blijkt dat bij de aanval in totaal de gegevens van 783.000 patiënten zijn buitgemaakt. Die kunnen nu aanspraak maken op twee jaar kosteloze kredietmontoring en bescherming tegen identiteitsdiefstal.