Kebocoran Data Aesto Health Berdampak pada Lebih dari 9,5 Juta Pasien
Perusahaan teknologi kesehatan Aesto Health mengungkapkan bahwa insiden kebocoran data yang terjadi pada akhir 2025 berdampak terhadap 9.540.683 individu. Data yang terekspos mencakup informasi pribadi dan kesehatan yang sangat sensitif, termasuk Social Security Number (SSN) dan informasi medis.
Aesto LLC, yang beroperasi dengan nama Aesto Health, menyediakan layanan software-as-a-service (SaaS) untuk membantu organisasi kesehatan memindahkan, mengarsipkan, dan mengakses data pasien ketika mengganti sistem rekam medis elektronik atau melakukan akuisisi praktik medis.
Serangan Terjadi pada Desember 2025
Aesto Health pertama kali mengumumkan insiden tersebut kepada publik pada 24 Juni 2026 melalui pemberitahuan di situs resminya. Saat itu perusahaan mengatakan bahwa hanya “bagian terbatas” dari infrastruktur Amazon Web Services (AWS) yang berhasil dikompromikan.
Namun, penyelidikan forensik kemudian menunjukkan bahwa akses tidak sah terjadi jauh lebih awal.
Berdasarkan hasil investigasi eksternal dan pemeriksaan dokumen secara manual, Aesto Health memastikan pada 26 Mei 2026 bahwa pelaku kemungkinan mengakses atau memperoleh informasi kesehatan yang dilindungi milik pasien dari sejumlah klien organisasi kesehatan.
Intrusi tersebut berlangsung antara sekitar 2 Desember hingga 18 Desember 2025.
Artinya, terdapat jeda beberapa bulan antara periode kompromi dan saat perusahaan memastikan dampak sebenarnya dari insiden tersebut.
Lebih dari 9,5 Juta Individu Terdampak
Dalam laporan yang disampaikan kepada U.S. Department of Health and Human Services (HHS), Aesto Health menyatakan bahwa total individu yang terdampak mencapai 9.540.683 orang.
Informasi yang berpotensi diakses oleh pelaku mencakup berbagai kategori data sensitif, antara lain:
- Nama lengkap.
- Tanggal lahir.
- Informasi medis.
- Nomor SIM.
- Nomor rekening keuangan.
- Informasi asuransi kesehatan.
- Individual Taxpayer Identification Number (ITIN).
- Nomor identitas pemerintah lainnya.
- Social Security Number (SSN).
Kombinasi data tersebut memiliki nilai tinggi bagi pelaku kejahatan karena dapat digunakan untuk pencurian identitas, penipuan finansial, maupun serangan lanjutan yang menargetkan korban.
Berdampak Tidak Langsung pada 29 Penyedia Layanan Kesehatan
Kebocoran tersebut tidak hanya berkaitan dengan pelanggan langsung Aesto Health. Menurut laporan HIPAA Journal, insiden tersebut secara tidak langsung berdampak terhadap 29 organisasi layanan kesehatan yang menggunakan layanan perusahaan.
Beberapa organisasi yang disebut terdampak antara lain VillageMD, Everside Health (Marathon Health), Marana Health, dan Together Women’s Health.
Karena Aesto Health menyediakan layanan pengelolaan dan akses data untuk organisasi kesehatan, kompromi terhadap infrastrukturnya berpotensi menyebabkan informasi pasien dari banyak entitas ikut terdampak dalam satu insiden.
Pemberitahuan kepada Korban Dimulai Agustus
Aesto Health mulai memberi tahu individu yang terdampak pada 21 Agustus 2026.
Dalam pemberitahuan tersebut, perusahaan memberikan informasi mengenai insiden sekaligus menawarkan layanan perlindungan terhadap pencurian identitas dan pemantauan kredit selama 24 bulan melalui Experian.
Layanan tersebut ditujukan untuk membantu korban memantau kemungkinan penyalahgunaan identitas atau aktivitas kredit yang tidak sah setelah data pribadi mereka terekspos.
Namun, mengingat jenis informasi yang terlibat mencakup SSN, nomor identitas pemerintah, informasi kesehatan, serta data keuangan, korban tetap perlu berhati-hati terhadap email phishing, panggilan telepon penipuan, maupun upaya impersonasi yang memanfaatkan informasi hasil kebocoran.
Terjadi di Tengah Gelombang Serangan terhadap Healthtech
Insiden Aesto Health menambah panjang daftar perusahaan teknologi kesehatan yang mengalami kebocoran data dalam beberapa waktu terakhir.
Kasus serupa sebelumnya melibatkan sejumlah perusahaan dan organisasi seperti iRhythm, Xolis, Medtronic, MCBS, Health-ISAC, Unlimited Technology Systems, CareCloud, Nutex Health, dan McKesson.
Besarnya jumlah individu yang terdampak menunjukkan bahwa perusahaan healthtech dapat menjadi target bernilai tinggi karena satu platform dapat menyimpan atau memproses data pasien dari banyak organisasi kesehatan sekaligus.
Serangan terhadap penyedia teknologi kesehatan juga dapat menciptakan efek domino. Ketika satu vendor berhasil dikompromikan, data milik berbagai organisasi pelanggan yang bergantung pada infrastrukturnya dapat ikut terekspos.
Belum Ada Kelompok Hacker yang Mengaku
Hingga saat ini, belum ada kelompok ransomware atau threat actor yang secara terbuka mengklaim bertanggung jawab atas serangan terhadap Aesto Health.
Perusahaan juga belum mengungkapkan siapa pelaku maupun metode spesifik yang digunakan untuk memperoleh akses ke lingkungan AWS mereka.
Investigasi terhadap insiden tersebut sebelumnya melibatkan spesialis forensik eksternal untuk menentukan cakupan akses dan jenis data yang kemungkinan telah diperoleh oleh pihak tidak berwenang.
Dengan lebih dari 9,5 juta individu terdampak dan data yang mencakup informasi kesehatan, identitas, serta keuangan, insiden ini menjadi salah satu kebocoran data kesehatan berskala besar yang perlu mendapat perhatian serius.
Sumber: Aesto Health, U.S. Department of Health and Human Services
