Een groot datalek in de Verenigde Staten waarbij de persoonlijke gegevens en medische informatie van 13,3 miljoen patiënten werden gestolen is ontstaan door de gestolen inloggegevens van een it-dienstverlener. Het bedrijf, PJ&A, was een it-dienstverlener dat allerlei diensten aan zorginstanties verleende. Het ging dan om zaken als facturatie, medische transcripties en administratie. In deze rol beschikte het bedrijf over allerlei patiëntgegevens, zoals uitslagen, medicijngebruik en behandelplannen.

Begin 2023 wisten aanvallers op de remote desktop webapplicatie van PJ&A in te loggen, waarmee er toegang tot interne systemen werd verkregen. Hiervoor gebruikten de aanvallers de gebruikersnaam en wachtwoord van een medewerker. De it-dienstverlener vereiste niet het gebruik van multifactorauthenticatie (MFA). De weken na de initiële toegang verkende de aanvaller het netwerk en wist zich lateraal naar andere systemen te bewegen.

De aanvaller wist uiteindelijk toegang tot systemen en bestanden te krijgen met persoonlijke informatie en beschermde medische gegevens van 13,3 miljoen patiënten. Het ging onder andere om een databaseback-up en andere bestanden, die niet waren versleuteld. De it-dienstverlener beschikte over een monitoringsysteem, dat de aanval vrij snel ontdekte. Het systeem was echter verkeer geconfigureerd, waardoor er geen waarschuwingen naar het securitypersoneel werden gestuurd.

Volgens de Amerikaanse autoriteiten had het bedrijf en de medewerkers kunnen weten, of wisten, dat de software niet was ingesteld om waarschuwingen te versturen. Begin 2022 was er een verzoek door een systeembeheerder gedaan om het systeem zo in te stellen dat het waarschuwingen zou versturen. Dit verzoek werd echter niet uitgevoerd. Het bedrijf ontdekte de aanval pas twee maanden later, nadat het door de aanvallers werd benaderd. Die eisten losgeld voor het verwijderen van de gestolen data.

Onderzoek wees uit dat de aanvallers waren binnengekomen door gestolen inloggegevens van een medewerker. Hoe die waren verkregen is niet duidelijk geworden. Of de it-dienstverlener het gevraagde losgeld betaalde is onbekend. Verschillende Amerikaanse staten begonnen een onderzoek naar het bedrijf en stelden dat de persoonlijke gegevens van patiënten niet goed waren beveiligd. PJ&A en procureurs-generaal uit de staten zijn nu een schikking overeengekomen.

De it-dienstverlener, die inmiddels failliet is, maakte deel uit van een groep andere bedrijven. Deze bedrijven moeten nu 300.000 dollar aan de Amerikaanse staten betalen en een aantal beveiligingsmaatregelen doorvoeren. Als de bedrijven dit niet doet zullen ze een aanvullende 9,7 miljoen dollar moeten betalen.