Aesto Health, violati i dati sanitari e personali di oltre 9,5 milioni di persone

Aesto Health, società statunitense che gestisce e trasferisce dati per strutture sanitarie e studi medici, ha comunicato una violazione che coinvolge 9.540.683 individui. Gli aggressori hanno sottratto informazioni personali e sanitarie da alcune porzioni dell’infrastruttura Amazon Web Services (AWS) dell’azienda.

L’esfiltrazione si è protratta dal 2 al 18 dicembre 2025. Aesto Health ha rilevato l’attività non autorizzata il 18 dicembre 2025, ma soltanto il 26 maggio 2026 l’indagine ha stabilito quali categorie di informazioni fossero state compromesse. L’avviso pubblico sull’incidente è arrivato nel giugno 2026.

La violazione è stata notificata al Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS), che ha registrato Aesto Health nel proprio portale dedicato alle esposizioni di dati sanitari. La data di calendario dell’inserimento non è nota.

Sottratti identificativi, dati finanziari e informazioni mediche

L’insieme delle informazioni potenzialmente esposte è particolarmente sensibile. Comprende:

• nomi;
• numeri di Social Security;
• numeri di patente;
• altri numeri identificativi;
• date di nascita;
• numeri di conti finanziari;
• numeri di identificazione fiscale;
• informazioni mediche;
• dati sulle assicurazioni sanitarie.

Non è stato chiarito se ogni persona coinvolta abbia subito l’esposizione di tutte queste categorie. Il totale di 9.540.683 individui indica la portata complessiva dichiarata a HHS, ma non permette di ricostruire quali specifici dati siano associati a ciascun interessato.

La compresenza di informazioni anagrafiche, identificativi governativi, dati sanitari e riferimenti finanziari aumenta il rischio rispetto a una violazione limitata, per esempio, ai soli indirizzi email. Questi elementi possono essere combinati per costruire profili credibili delle vittime e superare controlli basati su domande anagrafiche.

I possibili abusi comprendono furto d’identità, apertura fraudolenta di rapporti finanziari, impersonificazione e tentativi di frode assicurativa. I dati medici possono inoltre rendere più efficaci le campagne di phishing: un messaggio che cita una struttura sanitaria, una prestazione o una pratica assicurativa risulta più plausibile di una comunicazione generica.

Non risultano tuttavia casi confermati di frode, abuso sanitario o utilizzo criminale delle informazioni sottratte. Non è neppure noto se i dati siano stati pubblicati, messi in vendita o condivisi in ambienti criminali.

L’esfiltrazione dall’ambiente AWS è durata fino al rilevamento

Secondo le conclusioni dell’indagine, gli aggressori hanno prelevato dati per un intervallo di 16 giorni, dal 2 al 18 dicembre 2025. L’ultimo giorno coincide con quello in cui Aesto Health ha individuato l’attività non autorizzata e avviato il contenimento.

L’azienda ha coinvolto specialisti esterni di cybersecurity e ha esaminato il materiale interessato per identificare le persone e le categorie di informazioni coinvolte. L’analisi si è conclusa il 26 maggio 2026, oltre cinque mesi dopo il rilevamento iniziale.

Diversi aspetti tecnici restano sconosciuti. Aesto Health non ha indicato quale servizio AWS sia stato compromesso, né se l’incidente abbia riguardato sistemi di archiviazione, macchine virtuali, database o altri componenti cloud. Non è stata descritta neppure la configurazione interessata.

Mancano inoltre informazioni sul vettore di accesso iniziale. Non è noto se gli aggressori abbiano utilizzato credenziali rubate, chiavi cloud esposte, errori di configurazione, tecniche di phishing o vulnerabilità software. Di conseguenza, non è possibile associare l’incidente a una CVE, a una patch mancante o a uno specifico difetto di sicurezza.

Non sono stati resi disponibili indicatori di compromissione, come indirizzi IP, domini, hash di file o pattern osservabili nei log. Anche l’identità dell’attore rimane ignota. Non vi sono conferme di ransomware o richieste di riscatto.

Il ruolo di Aesto Health estende l’impatto ai suoi clienti sanitari

Aesto Health ha sede a Birmingham, in Alabama, e fornisce alle organizzazioni sanitarie servizi di migrazione protetta dei dati, scambio di cartelle cliniche elettroniche e conservazione di archivi legacy.

Questa funzione spiega perché una compromissione circoscritta a un solo fornitore possa coinvolgere milioni di persone. Un operatore tecnologico che concentra dati provenienti da più strutture diventa un punto comune della catena di fornitura: l’accesso al suo ambiente può esporre informazioni riconducibili a numerosi clienti, anche se le rispettive reti non sono state violate direttamente.

L’incidente ha interessato almeno due dozzine di clienti sanitari distribuiti in diversi Stati degli Stati Uniti. L’elenco delle organizzazioni non è stato reso noto, così come non sono disponibili la ripartizione geografica e il numero di persone colpite per ciascun cliente.

Alcuni provider hanno deciso di inviare direttamente le notifiche ai propri pazienti o assistiti, anziché delegare interamente il processo ad Aesto Health. Ciò significa che le comunicazioni potrebbero arrivare da organizzazioni sanitarie differenti e in momenti diversi.

Non è emersa una compromissione di ambienti esterni alle porzioni AWS indicate. Questa assenza di conferme, però, non dimostra che l’attività sia stata limitata a una singola risorsa: senza dettagli sull’architettura e sull’indagine forense, il perimetro tecnico non può essere ricostruito pubblicamente.

Contenimento confermato, ma le correzioni tecniche non sono note

Aesto Health afferma di avere contenuto l’incidente subito dopo il rilevamento, avviato un’indagine e coinvolto esperti esterni. Ha poi analizzato i dati interessati, notificato HHS e avviato le comunicazioni previste verso i soggetti coinvolti.

Non sono state però descritte le misure adottate sull’ambiente AWS. Non è noto se l’azienda abbia ruotato chiavi, token e credenziali, modificato autorizzazioni cloud, isolato account, corretto configurazioni o introdotto nuovi controlli di monitoraggio.

Non è stata annunciata una patch, perché non è stata identificata pubblicamente alcuna vulnerabilità software. Mancano anche informazioni sull’eventuale disponibilità di monitoraggio del credito o servizi di protezione dal furto d’identità.

Per i clienti sanitari, il primo passo è determinare quali dataset siano transitati o rimasti nell’ambiente compromesso. Devono poi collegare quei dati alle persone interessate, conservare le evidenze e verificare eventuali accessi anomali durante l’intervallo di esfiltrazione.

Sul piano tecnico, è opportuno esaminare i log AWS disponibili, incluse le modifiche alle identità, alle autorizzazioni e alle policy di accesso. Vanno controllati anche download inconsueti, trasferimenti voluminosi, autenticazioni da origini atipiche e creazione di nuove credenziali. Queste sono misure difensive raccomandabili, non interventi che Aesto Health abbia confermato di avere eseguito.

Cosa dovrebbero fare le persone potenzialmente coinvolte

Chi riceve una notifica da Aesto Health o da una struttura sanitaria cliente dovrebbe leggerla con attenzione per capire quali categorie di dati personali risultino associate al proprio caso. Non bisogna presumere che ogni informazione elencata sia stata sottratta a tutte le vittime.

È consigliabile controllare movimenti finanziari, richieste di credito, comunicazioni fiscali e attività legate all’assicurazione sanitaria. Prestazioni mediche sconosciute, variazioni dei dati assicurativi o richieste di pagamento inattese possono indicare un uso improprio delle informazioni.

Serve particolare cautela con email, telefonate e messaggi che citano l’incidente. Un criminale potrebbe presentarsi come Aesto Health, come una clinica, come un assicuratore o come un servizio di tutela dell’identità. Le richieste di password, codici temporanei, numeri completi di Social Security o pagamenti urgenti devono essere considerate sospette.

Le comunicazioni vanno verificate contattando l’organizzazione attraverso recapiti ottenuti indipendentemente, non usando link o numeri presenti in messaggi inattesi. Dove possibile, conviene attivare l’autenticazione a più fattori e sostituire credenziali riutilizzate su più servizi.

La scala della violazione è certa; il suo sfruttamento successivo, al momento, no. Proprio la varietà dei dati sottratti impone però un monitoraggio prolungato: identificativi personali e informazioni sanitarie restano utilizzabili molto più a lungo di una password modificabile.