De Amerikaanse staat Colorado waarschuwt vier miljoen inwoners dat hun privé- en gezondheidsgegevens zijn gestolen via een kwetsbaarheid in MOVEit Transfer. Het gaat om naam, social-securitynummer, geboortedatum, adresgegevens, contactgegevens, informatie over inkomen en klinische en medische informatie, waaronder diagnoses, aandoeningen, laboratoriumuitslagen, medicatiegegevens, behandelgegevens en zorgverzekeringsinformatie.

MOVEit Transfer is een applicatie voor het uitwisselen van bestanden. Allerlei organisaties maken er gebruik van om onder andere vertrouwelijke informatie binnen de organisatie te delen. Een zerodaylek in deze software werd eind mei bij een wereldwijde aanval gebruikt, waarbij criminelen achter de Clop-ransomware toegang tot de MOVEit-servers van honderden organisaties kregen en daarbij allerlei gegevens buitmaakten.

Op de eigen website publiceert de Clop-groep vervolgens de namen van getroffen organisaties. Als het gevraagde losgeld niet wordt betaald dreigt de groep de gestolen data te publiceren. Het Department of Health Care Policy and Financing (HCPF) van de Amerikaanse staat Colorado heeft een contract met IBM, dat bestanden van het ministerie verwerkt. Bij de aanval werd de MOVEit-server gecompromitteerd die IBM voor de gegevensverwerking gebruikt, waardoor de gegevens van de vier miljoen inwoners zijn gelekt.

Volgens antivirusbedrijf Emsisoft zijn in totaal 668 organisaties door de aanval getroffen, waarbij de gegevens van 46 miljoen individuen zijn buitgemaakt. Dagelijks worden echter nieuwe slachtoffers gemeld. De meeste gegevens werden buitgemaakt bij Maximus (11 miljoen), de Amerikaanse staat Louisiana (6 miljoen) en het ministerie van de staat Colorado (4 miljoen).