Kebocoran Data di Perusahaan Penagihan Medis MCBS Berdampak pada 1,26 Juta Orang
Perusahaan layanan penagihan medis Medical Computer Business Services (MCBS) mengungkap bahwa insiden kebocoran data yang terjadi pada 2025 telah memengaruhi lebih dari 1,26 juta orang. Serangan tersebut menyebabkan informasi pribadi dan data kesehatan pasien berpotensi diakses oleh pihak yang tidak berwenang.
Jumlah korban diumumkan melalui laporan resmi kepada U.S. Department of Health and Human Services, yang menyebutkan sebanyak 1.261.464 individu terdampak.
Perusahaan Pengelola Data Pasien
MCBS merupakan perusahaan swasta yang berbasis di Augusta, Georgia, Amerika Serikat. Perusahaan ini menyediakan layanan penagihan, pengkodean medis, pengelolaan piutang, administrasi, hingga manajemen praktik bagi berbagai penyedia layanan kesehatan.
Sebagai mitra bisnis rumah sakit dan klinik, MCBS mengelola sejumlah besar data pasien sehingga berperan sebagai agregator data kesehatan.
Penyerang Masuk ke Jaringan Selama Empat Hari
Dalam pemberitahuan yang dipublikasikan di situs resminya, MCBS mengungkap bahwa pelaku berhasil memperoleh akses tidak sah ke jaringan perusahaan antara 22 hingga 26 September 2025.
Setelah menemukan insiden tersebut, perusahaan melakukan investigasi forensik untuk mengetahui cakupan dan dampaknya. Proses investigasi baru selesai pada 28 Mei 2026.
Hasil penyelidikan menunjukkan bahwa berbagai jenis data sensitif kemungkinan telah terekspos.
Data Pribadi dan Medis Berpotensi Bocor
Jenis informasi yang kemungkinan diakses pelaku meliputi:
- Nama lengkap.
- Alamat tempat tinggal.
- Nomor Social Security.
- Tanggal lahir.
- Nomor peserta program kesehatan.
- Nomor polis asuransi kesehatan.
- Nomor identifikasi pelanggan.
- Riwayat medis.
- Informasi kondisi kesehatan fisik maupun mental.
- Informasi perawatan medis.
- Data diagnosis.
MCBS menjelaskan bahwa jenis data yang terdampak berbeda-beda untuk setiap individu.
Sejumlah Penyedia Layanan Kesehatan Ikut Terdampak
Dalam pemberitahuannya, MCBS juga mencantumkan sejumlah organisasi layanan kesehatan yang datanya dikelola oleh perusahaan.
Beberapa di antaranya adalah:
- South Georgia Radiology Consultants.
- SkinPath Solutions.
- Stephen W. Brown and Radiology Associates.
Pasien yang pernah mendapatkan layanan dari penyedia tersebut berpotensi ikut terdampak apabila data mereka diproses oleh MCBS.
Korban Diminta Waspadai Penyalahgunaan Identitas
MCBS mengimbau individu yang terdampak untuk meningkatkan kewaspadaan terhadap potensi penyalahgunaan identitas.
Perusahaan menyarankan agar korban memasang fraud alert pada laporan kredit mereka serta mempertimbangkan security freeze untuk mencegah pembukaan rekening atau pinjaman tanpa izin.
Masyarakat yang pernah menerima layanan kesehatan di wilayah Georgia juga dianjurkan menghubungi penyedia layanan masing-masing guna memastikan apakah data mereka diproses oleh MCBS.
Diklaim oleh Kelompok Ransomware PEAR
Serangan terhadap MCBS diklaim dilakukan oleh kelompok ransomware PEAR (Pure Extraction and Ransom).
Kelompok tersebut mengaku berhasil mencuri sekitar 3,3 terabyte data dari sistem MCBS.
Selain data pasien yang telah dikonfirmasi perusahaan, pelaku juga mengklaim menguasai data sumber daya manusia, informasi operasional perusahaan, data pembayaran, korespondensi email, hingga berbagai basis data internal.
Kelompok tersebut menyatakan telah mempublikasikan seluruh data yang dicuri. Namun, hingga kini keaslian data yang beredar tersebut belum dapat diverifikasi secara independen.
Insiden ini kembali menunjukkan besarnya risiko keamanan siber di sektor layanan kesehatan, terutama bagi perusahaan yang menangani data medis dalam jumlah besar. Organisasi yang mengelola informasi sensitif diharapkan terus memperkuat sistem keamanan guna mencegah terulangnya insiden serupa.
