AdaptHealth Konfirmasi 4,1 Juta Orang Terdampak Serangan Siber Juli

Perusahaan layanan kesehatan asal Amerika Serikat, AdaptHealth, mengonfirmasi bahwa data pribadi dan informasi kesehatan milik sekitar 4,1 juta orang terekspos dalam serangan siber yang ditemukan pada Juli 2026. Serangan tersebut sebelumnya dikaitkan dengan kelompok ancaman ShinyHunters.

AdaptHealth menyediakan perangkat dan perlengkapan medis untuk kebutuhan perawatan di rumah, termasuk peralatan sleep apnea dan pernapasan, terapi oksigen, tempat tidur rumah sakit, serta produk pendukung mobilitas.

Serangan Berawal dari Rekayasa Sosial

AdaptHealth pertama kali mengungkap insiden tersebut melalui laporan kepada U.S. Securities and Exchange Commission (SEC) pada 2 Juli 2026. Perusahaan mengatakan penyerang berhasil memperoleh akses ke sistemnya dan mencuri sejumlah data pribadi.

Hasil investigasi awal menunjukkan bahwa intrusi sebenarnya telah terjadi lebih awal. Pelaku berhasil mengakses berbagai aplikasi bisnis berbasis cloud, termasuk beberapa sistem manajemen pasien internal, platform penyimpanan dokumen, serta portal sistem rekam medis elektronik.

Pada 15 Juni, seorang pelaku ancaman yang tidak disebutkan identitasnya menghubungi AdaptHealth dan meminta pembayaran tebusan dengan ancaman akan mempublikasikan data yang telah dicuri.

AdaptHealth kemudian mengungkap bahwa serangan tersebut bermula dari social engineering yang berhasil mengompromikan akun dengan hak akses tinggi milik seorang kontraktor pihak ketiga.

Data Pasien yang Terekspos

Dalam pembaruan pada 14 Agustus, AdaptHealth menyatakan bahwa kompromi tersebut terjadi pada 5 Juni 2026. Investigasi perusahaan menunjukkan bahwa data yang berpotensi terekspos mencakup:

• Nama lengkap
• Informasi kontak
• Informasi demografis
• Informasi asuransi kesehatan
• Informasi kesehatan

Jenis data yang terlibat membuat insiden ini menjadi perhatian serius karena tidak hanya mencakup informasi identitas, tetapi juga data yang berkaitan dengan layanan dan kondisi kesehatan pasien.

AdaptHealth mengatakan individu yang terdampak seharusnya telah menerima pemberitahuan mengenai insiden tersebut. Perusahaan juga menyediakan layanan credit monitoring dan identity protection gratis selama 12 bulan bagi mereka yang memenuhi syarat.

Sejauh ini, AdaptHealth menyatakan belum menemukan bukti bahwa data yang dicuri telah digunakan untuk pencurian identitas, penipuan, atau penyalahgunaan lainnya.

Lebih dari 4,1 Juta Orang Terdampak

Besarnya dampak serangan kini telah dikonfirmasi melalui laporan AdaptHealth kepada U.S. Department of Health and Human Services (HHS).

Menurut data tersebut, insiden ini berdampak pada 4.115.802 individu.

Jumlah tersebut sejalan dengan skala layanan AdaptHealth. Berdasarkan informasi perusahaan, pada Juli 2024 AdaptHealth melayani sekitar 4,1 juta pasien di seluruh 50 negara bagian Amerika Serikat melalui jaringan sekitar 680 lokasi.

Dengan demikian, insiden ini berpotensi mencakup sebagian besar populasi pasien yang dilayani perusahaan pada periode tersebut, meskipun data yang terdampak tetap bergantung pada sistem dan informasi yang berhasil diakses oleh penyerang.

ShinyHunters Diduga Berada di Balik Serangan

Kelompok ShinyHunters sebelumnya disebut sebagai pihak yang bertanggung jawab atas serangan terhadap AdaptHealth setelah nama perusahaan muncul dalam daftar korban kelompok tersebut.

Namun, masih terdapat indikasi bahwa ShinyHunters kemudian menghapus AdaptHealth dari portal pemerasan mereka. Tidak ditemukan lagi entri AdaptHealth di situs pemerasan ShinyHunters.

Kondisi tersebut membuat atribusi terhadap ShinyHunters perlu dilihat dengan hati-hati. Meski demikian, informasi sebelumnya dan pola serangan menjadi dasar keterkaitan kelompok tersebut dengan insiden ini.

AdaptHealth sendiri mengonfirmasi terjadinya pelanggaran data dan jumlah individu yang terdampak, tetapi informasi yang tersedia tidak menunjukkan bahwa perusahaan secara independen mengonfirmasi ShinyHunters sebagai pelaku serangan.

Gelombang Serangan terhadap Sektor Health-Tech

Kasus AdaptHealth muncul di tengah sejumlah insiden serupa yang menargetkan perusahaan teknologi dan layanan kesehatan di Amerika Serikat.

Beberapa perusahaan health-tech lain yang baru-baru ini mengungkap kebocoran data antara lain Aesto Health, CareCloud, dan Unlimited Technology Systems, dengan jumlah individu terdampak yang juga mencapai jutaan.

Sementara itu, McKesson dan Nutex Health juga mengungkap insiden keamanan setelah dikaitkan dengan aktivitas ShinyHunters. Namun, kedua perusahaan tersebut belum menentukan jumlah individu yang terdampak.

Rangkaian insiden ini menunjukkan bagaimana kompromi terhadap akun pihak ketiga dengan hak akses tinggi dapat menjadi jalur masuk yang sangat berisiko bagi organisasi kesehatan. Selain kehilangan data identitas, kompromi semacam ini berpotensi memberikan akses ke informasi kesehatan yang memiliki tingkat sensitivitas jauh lebih tinggi.

Sumber: AdaptHealth