Een Amerikaanse zorgverlener en cloudprovider zijn in de Verenigde Staten aangeklaagd voor een door ransomware veroorzaakt datalek. Een van de getroffen patiënten van het datalek heeft een massaclaim tegen beide bedrijven aangespannen. Zorgverlener Personal-Touch Home Care werd op 1 december vorig jaar door cloudhostingprovider Crossroads Technologies geïnformeerd dat het was getroffen door ransomware.

De zorgverlener had patiëntgegevens bij de cloudhostingprovider opgeslagen en deze data was (deels) door aanvallers gestolen en versleuteld. De aanval was uitgevoerd door criminelen achter de Maze-ransomware. Deze groep laat via een website weten welke slachtoffers het heeft gemaakt en maakt gestolen data van slachtoffers openbaar wanneer die niet betalen. In het geval van Personal-Touch Home Care werden er twee bestanden met 7300 records aangeboden, aldus DataBreaches.net.

Volgens de zorgverlener zijn de gegevens van veel meer patiënten door de ransomware versleuteld, namelijk 156.000. Het gaat om medische behandelgegevens, verzekeringsgegevens, medische dossiernummers, namen, adresgegevens, telefoonnummers, geboortedatum en social-securitynummers, zo blijkt uit een melding over het datalek (pdf).

Volgens één van de getroffen patiënten heeft de ransomware-aanval gevolgen gehad voor de medische zorg aan patiënten en hun behandelplannen. Zo moest de zorgverlener terugvallen op noodprotocollen en werden patiëntgegevens op papier opgeschreven. De patiënt stelt dat de zorgverlener en cloudprovider meer hadden moeten doen om patiëntgegevens te beschermen, zo meldt Top Class Actions.

Verder claimt de patiënt dat beide bedrijven beveiligingsupdates niet hadden geïnstalleerd en te kort schoten in hun beleid voor het omgaan met besmette e-mails. Hoe de cloudhostingprovider besmet raakte is onbekend, maar de Maze-ransomware wordt onder andere via e-mailbijlagen verspreid die uit Office-documenten met kwaadaardige macro's bestaan.