Medtronic benachrichtigt 3,8 Millionen nach ShinyHunters-Angriff

Was ist passiert

Medtronic, einer der weltweit größten Hersteller von Medizingeräten, hat offiziell eine massive Datenpanne bekannt gegeben, von der rund 3,8 Millionen Menschen betroffen sind. Das Unternehmen hat damit begonnen, Briefe an 3.834.294 Personen zu versenden, in denen sie darüber informiert werden, dass ihre persönlichen und sensiblen medizinischen Daten bei einem Angriff der berüchtigten Cyberkriminalitätsgruppe ShinyHunters kompromittiert wurden. Obwohl der Vorfall die IT-Systeme des Unternehmens zum Ziel hatte, betonte Medtronic, dass medizinische Geräte, die Patientensicherheit und der operative Betrieb von dem Angriff nicht betroffen waren.

Die Ursprünge des Angriffs gehen auf den April 2026 zurück. Damals behauptete ShinyHunters, über 9 Millionen Datensätze aus den Systemen von Medtronic gestohlen zu haben, und drohte damit, die Daten zu veröffentlichen, falls kein Lösegeld gezahlt würde. Medtronic bestätigte den Angriff, hielt sich aber mit Details zurück. Nach monatelangen umfassenden Ermittlungen und Datenanalysen wurden die Anzahl der betroffenen Personen und die Art der exfiltrierten Daten geklärt. Das Unternehmen hat nun den Prozess eingeleitet, die betroffenen Personen gemäß den gesetzlichen Verpflichtungen und Transparenzprinzipien direkt zu benachrichtigen.

Welche Daten wurden gestohlen

Laut der Erklärung von Medtronic umfassen die von den Cyberangreifern kompromittierten Informationen hochsensible Daten, die für Identitätsdiebstahl äußerst wertvoll sind. Das Unternehmen bestätigte, dass die folgenden Informationen der betroffenen Personen durchgesickert sind:

• Vollständiger Name: Grundlegende Informationen zur Identitätsüberprüfung und für gezielte Angriffe.
• Kontaktdaten: Informationen wie Adresse, Telefonnummer und E-Mail, die für Phishing-Angriffe verwendet werden können.
• Geburtsdatum: Eine häufig verwendete Information bei Identitätsdiebstahl und der Erstellung betrügerischer Konten.
• Sozialversicherungsnummer (SSN): Eines der kritischsten Identifikationsmerkmale für US-Bürger, das als Schlüssel für Finanzbetrug und Identitätsdiebstahl dient.
• Gesundheitsinformationen: Äußerst private und vertrauliche Informationen, wie die von Patienten verwendeten Medtronic-Geräte, Diagnosen und Behandlungsprozesse.

Die Tatsache, dass diese Daten gemeinsam durchgesickert sind, erhöht das Risiko erheblich. Angreifer können diese Informationen nutzen, um betrügerische Versicherungsansprüche geltend zu machen, medizinische Leistungen im Namen anderer zu erhalten oder diese sensiblen Daten zur Erpressung von Opfern zu verwenden. Medtronic gab an, bisher keine Beweise dafür gefunden zu haben, dass die gestohlenen Informationen öffentlich veröffentlicht oder online verkauft wurden, was jedoch nicht bedeutet, dass die Daten sicher sind.

Wie der Angriff geschah

Laut der Datenpannen-Benachrichtigung von Medtronic ereignete sich der Angriff im April 2026. Am 15. April 2026 entdeckte das Unternehmen verdächtige Aktivitäten in seinen Unternehmens-IT-Systemen und leitete sofort eine Untersuchung mit Hilfe externer Cybersicherheitsexperten ein. Die Untersuchung ergab, dass ein unbefugter Akteur sechs Tage lang, zwischen dem 13. und 19. April 2026, Zugriff auf bestimmte Unternehmenssysteme hatte.

Am 18. April listete die ShinyHunters-Gruppe Medtronic auf ihrer Leak-Seite und behauptete, über 9 Millionen Datensätze gestohlen zu haben. Die Gruppe drohte damit, die Daten zu veröffentlichen, wenn bis zum 21. April kein Lösegeld gezahlt würde. Interessanterweise wurde der Eintrag später von der Seite entfernt. Es wurde keine Erklärung dafür gegeben, warum der Eintrag entfernt wurde. Dies führte zu Spekulationen, dass möglicherweise ein Lösegeld gezahlt wurde oder eine andere Vereinbarung getroffen wurde, aber es gab keinen offiziellen Kommentar von Medtronic zu diesem Thema. Die technischen Details, wie die Angreifer in die Systeme eingedrungen sind oder welche Schwachstelle sie ausgenutzt haben, wurden bisher nicht veröffentlicht.

Wer ist betroffen

Die 3,8 Millionen von der Datenpanne betroffenen Personen sind Patienten, die ein medizinisches Gerät der Marke Medtronic besitzen. Dies können Benutzer von lebenserhaltenden oder therapeutischen Geräten wie Herzschrittmachern, Insulinpumpen oder Hirnstimulatoren sein. Die Panne zielt direkt auf die privatesten Informationen dieser Patienten ab. Da Medtronic ein globaler Riese mit 90.000 Mitarbeitern und Niederlassungen in 150 Ländern ist, ist die geografische Verteilung der Panne noch nicht klar, aber das Durchsickern von Sozialversicherungsnummern (SSNs) deutet darauf hin, dass eine erhebliche Anzahl von US-Bürgern betroffen ist.

Was Sie tun können

Wenn Sie ein Medtronic-Gerät verwenden und glauben, von dieser Panne betroffen zu sein, oder wenn Sie einen Benachrichtigungsbrief erhalten haben, sollten Sie sofort handeln, um Ihre persönliche und finanzielle Sicherheit zu schützen:

• Überprüfen Sie den Benachrichtigungsbrief: Der Brief von Medtronic enthält Informationen darüber, wie die Panne Sie betrifft und welche Unterstützung das Unternehmen anbietet, z. B. kostenlose Kreditauskunftsüberwachung oder Identitätsschutzdienste. Nutzen Sie diese Dienste unbedingt.
• Sperren Sie Ihre Kreditauskünfte: Um zu verhindern, dass neue Kreditkarten oder Darlehenskonten in Ihrem Namen eröffnet werden, wenden Sie sich an die drei großen Kreditauskunfteien (Equifax, Experian, TransUnion), um Ihre Kreditauskunft zu sperren. Dies ist eine der wirksamsten Maßnahmen gegen Identitätsdiebstahl.
• Überwachen Sie Ihre Finanzkonten: Überprüfen Sie regelmäßig Ihre Bankkonten, Kreditkartenabrechnungen und andere Finanztransaktionen auf verdächtige Aktivitäten. Melden Sie unbekannte Transaktionen sofort der zuständigen Institution.
• Seien Sie vorsichtig bei Phishing-Angriffen: Angreifer können die gestohlenen Informationen nutzen, um Sie anzurufen oder Ihnen E-Mails zu senden. Geben Sie niemals zusätzliche Informationen oder Passwörter bei diesen gefälschten Kommunikationsversuchen preis, die scheinbar von Medtronic, Ihrer Versicherungsgesellschaft oder einem Gesundheitsdienstleister stammen.
• Überprüfen Sie Ihre Arztrechnungen: Überprüfen Sie sorgfältig die Leistungsabrechnungen Ihrer Versicherungsgesellschaft (Explanation of Benefits) und die Rechnungen von Gesundheitsdienstleistern. Wenn Sie Leistungen oder Behandlungen sehen, die Sie nicht erhalten haben, melden Sie dies sofort Ihrer Versicherungsgesellschaft und dem betreffenden Gesundheitsdienstleister.

Was das Unternehmen sagt

In einer Pressemitteilung zu dem Vorfall erklärte Medtronic, dass die Situation unter Kontrolle gebracht wurde und keine Auswirkungen auf die Patientensicherheit hatte. Das Unternehmen erklärte: "Medtronic hat festgestellt, dass eine unbefugte Partei auf Daten in bestimmten Unternehmens-IT-Systemen von Medtronic zugegriffen hat. Wir haben keine Auswirkungen auf unsere Produkte, die Patientensicherheit, die Verbindungen zu unseren Kunden, unsere Herstellungs- und Vertriebsabläufe, unsere Finanzberichterstattungssysteme oder unsere Fähigkeit, die Bedürfnisse der Patienten zu erfüllen, festgestellt."

Darüber hinaus betonten sie, dass die Netzwerke, die ihre Unternehmens-IT-Systeme unterstützen, von denen getrennt sind, die ihre Produkte und Fertigungsabläufe unterstützen. Diese Trennung scheint verhindert zu haben, dass sich der Angriff auf physische medizinische Geräte oder den Betrieb in Krankenhäusern ausbreitet. Das Unternehmen fügte hinzu, dass es den betroffenen Personen Unterstützung anbieten und an der Stärkung seiner Cybersicherheitsmaßnahmen arbeiten werde.

Quelle

https://securityaffairs.com/194788/cyber-crime/medtronic-notifies-3-8-million-after-shinyhunters-data-breach.html