Ruim 9,5 miljoen mensen zijn getroffen door een datalek bij het Amerikaanse gezondheidszorgtechnologiebedrijf Aesto Health. Het bedrijf, gevestigd in Birmingham, Alabama, biedt diensten aan zoals veilige datamigratie, uitwisseling van elektronische patiëntendossiers (EHR) en archivering van legacy data voor zorgverleners en medische praktijken.

Het datalek werd op 18 december 2025 ontdekt en betrof delen van de Amazon Web Services (AWS)-infrastructuur van Aesto Health. Direct na het constateren van de ongeautoriseerde activiteit werd het incident ingeperkt en is een grondig onderzoek gestart. Hierbij werden toonaangevende cybersecurity-experts ingeschakeld om vast te stellen welke persoonlijke gegevens mogelijk waren betrokken. Uit het onderzoek, dat op 26 mei 2026 werd afgerond, bleek dat hackers tussen 2 en 18 december 2025 persoonsgegevens en beschermde gezondheidsinformatie (PHI) hebben buitgemaakt.

De gestolen gegevens omvatten onder meer namen, sofinummers, rijbewijsnummers, andere identificatienummers, geboortedata, financiële rekeningnummers, medische gegevens, informatie over zorgverzekeringen en belastingidentificatienummers. Aesto Health heeft de Amerikaanse gezondheidsautoriteit Department of Health and Human Services (HHS) geïnformeerd dat in totaal 9.540.683 personen getroffen zijn door het datalek. De HHS heeft het bedrijf opgenomen in haar data breach portal.

Minstens twee dozijn klanten van Aesto Health, zorgverleners verspreid over meerdere staten, zijn door het incident geraakt. Sommige van deze klanten hebben ervoor gekozen om de mogelijk getroffen personen zelf te informeren. Het datalek onderstreept de risico’s van cyberaanvallen op de infrastructuur van dienstverleners in de zorgsector.