MCBS-Datenleck betrifft 1,2 Millionen Personen

Was ist passiert

Das in Atlanta ansässige Unternehmen für medizinisches Geschäftsmanagement, Medical Computer Business Services (MCBS), hat ein erhebliches Datenleck öffentlich gemacht, von dem 1.261.464 Personen betroffen sind. Laut einer offiziellen Mitteilung auf der Website des Unternehmens gelang es Cyberangreifern im September 2025, in die Systeme der Organisation einzudringen. Dieser Vorfall unterstreicht erneut die Fragilität der Datensicherheitskette, insbesondere im Gesundheitswesen. MCBS betreut Patienten nicht direkt, sondern agiert als Geschäftspartner für Gesundheitsorganisationen und kümmert sich um kritische Back-Office-Operationen wie das Management des Einnahmenzyklus und die Abrechnung. Diese Rolle vervielfacht die Auswirkungen des Angriffs und gefährdet gleichzeitig Patienten von mehreren verschiedenen Gesundheitsdienstleistern.

Die Verantwortung für den Angriff wurde von der Ransomware-Gruppe PEAR übernommen, die Mitte 2025 in Erscheinung trat und sich schnell einen Namen in der Welt der Cyberkriminalität machte. Ende September 2025 behauptete die Gruppe, MCBS gehackt und über 3 Terabyte (TB) an Daten gestohlen zu haben. Diese Behauptung deckt sich mit den offiziellen Zahlen, die im Datenleck-Tracker des US-Gesundheitsministeriums gemeldet wurden. Die PEAR-Gruppe hat die Daten nicht nur gestohlen, sondern auch bekannt gegeben, dass sie den riesigen Datensatz online zum Download zur Verfügung gestellt hat. Für die Opfer bedeutet dies, dass ihre Daten nicht nur gestohlen, sondern auch unkontrolliert verbreitet wurden. Die PEAR-Ransomware-Bande ist auch für frühere Angriffe auf Organisationen wie Motility Software Solutions (766.000 Betroffene) und Tri-Century Eye Care (200.000 Betroffene) bekannt, was auf ein Muster der Gruppe hindeutet, Sektoren mit großen Datenmengen und geringer Toleranz für Betriebsstörungen ins Visier zu nehmen.

Welche Daten wurden kompromittiert

Die Art der aus den MCBS-Systemen exfiltrierten Daten unterstreicht die Schwere des Vorfalls. Die gestohlenen Informationen umfassen hochsensible Daten, die ausreichen, um die digitale und physische Identität einer Person vollständig zu übernehmen. Laut der Erklärung des Unternehmens enthielten die kompromittierten Dateien folgende Informationen:

• Vollständiger Name und Adresse: Diese grundlegenden Informationen sind der erste Schritt zum Identitätsdiebstahl und werden in Kombination mit anderen Daten zu einem mächtigen Werkzeug für Betrüger.
• Sozialversicherungsnummer (SSN): Als Eckpfeiler der Identität in den USA kann eine SSN die Tür zu unzähligen Betrugsformen öffnen, von der Beantragung von Kreditkarten und der Eröffnung von Bankkonten im Namen eines Opfers bis hin zur Verwendung als Identität bei illegalen Aktivitäten.
• Geburtsdatum: Diese Information, die häufig bei Identitätsprüfungen verwendet wird, kann in Kombination mit einer SSN potenziell den Zugang zur überwiegenden Mehrheit der finanziellen und persönlichen Konten einer Person ermöglichen.
• Krankenversicherungsinformationen: Daten wie Versicherungsnummern und Gruppeninformationen werden für medizinischen Betrug verwendet, der es Kriminellen ermöglicht, im Namen der Opfer falsche medizinische Ansprüche geltend zu machen, verschreibungspflichtige Medikamente zu erhalten oder teure medizinische Geräte zu bestellen.
• Medizinische Informationen (Geschützte Gesundheitsinformationen - PHI): Extrem private Informationen wie Diagnosen, Behandlungsverläufe und Arztnotizen können zur Bloßstellung, Erpressung oder für gezielten Betrug verwendet werden. Die Offenlegung solcher Daten kann nicht nur im finanziellen Leben der Opfer, sondern auch in ihrem persönlichen und beruflichen Ansehen irreparablen Schaden anrichten.

Die Behauptungen der PEAR-Gruppe deuten darauf hin, dass der Umfang der gestohlenen Daten noch größer ist. Zusätzlich zu den Patientendaten behauptete die Ransomware-Bande, auch Finanzunterlagen des Unternehmens und seiner Kunden, Personal- (HR) und Geschäftsbetriebsdokumente, Partner- und Lieferantendaten, Zahlungsdetails und interne E-Mails entwendet zu haben. Dies deutet darauf hin, dass der Angriff nicht nur Einzelpersonen, sondern das gesamte Geschäftsökosystem von MCBS gefährdet.

Wie ist der Angriff passiert

Laut der offiziellen Erklärung von MCBS hatten die Cyberangreifer zwischen dem 22. und 26. September 2025, also insgesamt fünf Tage lang, unbefugten Zugriff auf die Unternehmenssysteme. Die Untersuchung, wie tief die Angreifer in die Systeme eingedrungen sind und welche Daten sie in diesem Zeitraum genau exfiltriert haben, dauert an. Das Unternehmen hat jedoch noch keine technischen Details darüber veröffentlicht, wie der Angriff konkret begann – d. h. wie die Angreifer den ersten Zugang erlangten (z. B. durch eine Phishing-E-Mail, eine ausgenutzte Schwachstelle oder ein gestohlenes Passwort). Ransomware-Gruppen verwenden bei solchen Infiltrationsoperationen oft mehrere Taktiken, aber der spezifische Eintrittsvektor für diesen Fall bleibt unbestätigt. Da Analysen nach einem Vorfall oft langwierig sind, könnten im Laufe der Zeit weitere Informationen über die eigentliche Ursache des Angriffs bekannt werden. Um über solche Ereignisse in der Welt der Cybersicherheit informiert zu bleiben, ist es wichtig, regelmäßig die Datenleck Nachrichten zu verfolgen.

Wer ist betroffen

Direkt vom Datenleck betroffen sind die Patienten von sieben verschiedenen Gesundheitsorganisationen, die die Dienste von MCBS nutzen. MCBS hat die Namen dieser Gesundheitsdienstleister in seiner Datenleck-Mitteilung aufgeführt. Als Firma für Abrechnungs- und Einnahmenzyklus-Management stand MCBS im Zentrum der finanziellen Operationen dieser Krankenhäuser und Kliniken. Selbst wenn Patienten nie eine direkte Beziehung zu MCBS hatten, wurden ihre persönlichen und medizinischen Daten für Abrechnungen, Versicherungsansprüche und Zahlungsabwicklungen auf den MCBS-Systemen verarbeitet. Das US-Gesundheitsministerium hat bestätigt, dass Daten von insgesamt 1.261.464 Personen kompromittiert wurden. Diese Personen sind nun einem erhöhten Risiko von Identitätsdiebstahl und Betrug ausgesetzt.

Was können Sie tun

Wenn Sie Dienstleistungen von einem Gesundheitsdienstleister erhalten haben, der MCBS nutzt, und glauben, von diesem Leck betroffen zu sein, sollten Sie sofort folgende Schritte unternehmen, um Ihre Daten zu schützen:

• Überwachen Sie Ihre Kreditauskünfte: Fordern Sie Ihre kostenlosen Kreditauskünfte von den drei großen Kreditauskunfteien (Equifax, Experian, TransUnion) an und überprüfen Sie sie sorgfältig auf verdächtige Konten oder Anfragen, die in Ihrem Namen eröffnet wurden.
• Betrugswarnung und Kreditsperre einrichten: Fügen Sie Ihren Kreditauskünften eine Betrugswarnung hinzu. Dies erfordert von Kreditgebern, zusätzliche Schritte zur Überprüfung Ihrer Identität zu unternehmen, wenn ein neuer Kreditantrag gestellt wird. Für eine stärkere Maßnahme sollten Sie eine Kreditsperre in Erwägung ziehen, die die Eröffnung neuer Konten vollständig blockiert.
• Medizinische und Versicherungsabrechnungen überprüfen: Prüfen Sie die Leistungsabrechnungen (Explanation of Benefits - EOB) Ihrer Krankenkasse und medizinische Rechnungen sorgfältig. Wenn Sie Dienstleistungen oder Behandlungen bemerken, die in Ihrem Namen abgerechnet wurden, die Sie aber nicht erhalten haben, kontaktieren Sie sofort Ihre Versicherung und die betreffende Gesundheitseinrichtung.
• Seien Sie wachsam gegenüber Phishing-Angriffen: Cyberkriminelle können Ihre gestohlenen persönlichen Informationen verwenden, um sehr überzeugende und personalisierte Phishing-E-Mails, Textnachrichten oder Anrufe zu erstellen. Vertrauen Sie niemals unaufgeforderten Mitteilungen, in denen Sie aufgefordert werden, persönliche Informationen zu bestätigen oder auf einen Link zu klicken.
• Auf Datenlecks prüfen: Sie können eine zuverlässige Datenleck Suche verwenden, um herauszufinden, ob Ihre persönlichen Informationen in diesem oder einem anderen Leck enthalten waren. Diese Tools helfen Ihnen zu überprüfen, ob Ihre E-Mail-Adresse oder andere Identifikatoren in bekannten Lecks aufgetaucht sind.

Was sagt das Unternehmen

MCBS hat das Datenleck in einer auf seiner Website veröffentlichten Mitteilung offiziell bestätigt. Die Erklärung bestätigte, dass der Angriff im September 2025 stattfand und dass unbefugte Parteien für einen bestimmten Zeitraum Zugang zu seinen Systemen erlangten. Das Unternehmen gab an, nach der Entdeckung des Vorfalls eine Untersuchung eingeleitet zu haben. Zum Zeitpunkt der Veröffentlichung des Quellartikels hat MCBS jedoch keine zusätzlichen Details darüber mitgeteilt, ob es den betroffenen Personen Unterstützungsdienste wie Kreditüberwachung oder Identitätsschutz anbietet, noch wie es seine Systeme gegen zukünftige Angriffe stärkt. Es wird erwartet, dass das Unternehmen den gesetzlich vorgeschriebenen Benachrichtigungsprozess für die Opfer fortsetzt.

Quelle

https://www.securityweek.com/mcbs-data-breach-affects-1-2-million-individuals/