De teller van het Oracle Health datalek loopt verder op. Volgens berichtgeving op basis van een rapport van de procureur-generaal van Texas is de persoonlijke en medische informatie van bijna 20 miljoen mensen mogelijk gecompromitteerd. Eerdere meldingen lieten lagere aantallen zien, maar nieuw ingediende en bijgewerkte gegevens wijzen op een veel grotere impact.
Oracle heeft, voor zover bekend, nog geen openbaar commentaar gegeven op het definitieve aantal getroffen personen. Wel informeert het bedrijf zorginstellingen via kennisgevingen aan klanten.
Wat is er gebeurd met de Cerner legacy-systemen?
Het incident richtte zich op legacy systemen van Cerner, een aanbieder van elektronische patiëntendossiers. Cerner werd in juni 2022 onderdeel van Oracle, waarna het bedrijf nu verdergaat als Oracle Health.
In meldingen aan klanten beschrijft Oracle dat het om ongeautoriseerde toegang gaat tot een deel van Cerner-data op een oude server die nog niet was gemigreerd naar Oracle Cloud. Die kennisgeving werd volgens de berichtgeving verstuurd in het kader van een ontdekking die dateert van ongeveer 20 februari 2025.
Timing: toegang, ontdekking en mogelijke kopie
Volgens informatie die Oracle aan klanten zou hebben meegedeeld, duidde het bewijs erop dat de aanvaller via gestolen klantcredentials toegang verkreeg tot de betrokken server. Daarbij zou sprake zijn geweest van toegang in een periode na 22 januari 2025.
Na het verkrijgen van toegang zou de aanvaller data hebben gekopieerd naar een externe server. Dit sluit aan op het beeld dat de aanval niet alleen gericht was op het binnendringen, maar ook op het veiligstellen van gegevens voor later misbruik.
Hoeveel mensen zijn geraakt?
De aantallen in de berichtgeving zijn gebaseerd op registraties en meldingen aan toezichthouders per staat. In de portal van de Texas attorney general staat bijvoorbeeld dat 2.992.244 Texanen mogelijk getroffen zijn.
Daarnaast vermelden meldingen die zijn ingediend bij toezichthouders in andere staten grofweg de volgende aantallen:
- South Carolina: ongeveer 283.000 betrokkenen
- Washington: ongeveer 69.000 betrokkenen
- Oregon: periode van 22 januari tot 1 april 2025 als datumbereik; 20 februari 2025 als ontdekdatum
Ook in California is een voorbeeldbrief ingediend bij de bevoegde instanties. Wanneer de totalen samenkomen, komt het in de berichtgeving genoemde totaal uit op bijna 20 miljoen mensen. Als dat klopt, dan zou het incident behoren tot de grootste zorgdatalekken in de Verenigde Staten die ooit zijn gemeld.
Welke gegevens stonden op het spel?
De voorbeeldbrief die Cerner/Oracle bij California-autoriteiten heeft ingediend beschrijft welke typen gegevens mogelijk betrokken waren. Daarbij gaat het om persoonlijke gegevens én informatie uit medische dossiers.
Concreet worden in de tekst (zoals aangehaald in de berichtgeving) onder meer de volgende gegevens genoemd:
- naam
- sofinummer (Social Security number)
- informatie uit patiëntendossiers
- medische recordnummers
- gegevens over artsen, diagnoses en medicijnen
- testresultaten en afbeeldingen
- informatie over zorg en behandeling
Door de mix van identiteits- en gezondheidsinformatie is het risico voor getroffen personen niet beperkt tot privacy-schending. Het kan ook gevolgen hebben voor identiteitsfraude, verzekeringsproblemen en gerichte misleiding.
Extorsie: druk op slachtoffers met gestolen data
Naast het datalek zelf was er ook sprake van extorsiepogingen. In eerdere berichtgeving werd gesuggereerd dat de pogingen om geld af te dwingen afkomstig waren van een individuele dreigingsacteur die bekendstaat als “Andrew”.
Belangrijk: die acteur zou volgens de bron destijds geen aantoonbare link hebben geclaimd met een gevestigde ransomware- of extorsie-groep. Wel werd gemeld dat de aanvaller vroeg om miljoenen dollars in cryptocurrency om te voorkomen dat de gestolen gegevens werden gelekt of verkocht.
Om extra druk uit te oefenen zouden er bovendien publieke websites zijn opgezet over het incident, wat past bij een strategie om slachtoffers te dwingen sneller te reageren.
Waarom dit soort incidenten groot kan uitpakken
Dit dossier laat zien hoe legacy omgevingen in de zorg extra kwetsbaar kunnen zijn. Zodra systemen niet volledig zijn gemigreerd en nog afhankelijk zijn van oude infrastructuur, kan het moeilijker zijn om uniform toezicht, segmentatie en beveiligingscontroles door te voeren.
Daarnaast wijst het gebruik van gestolen credentials op een ander terugkerend risico in de praktijk: wanneer inloggegevens al zijn buitgemaakt, kan een aanvaller met plausibele toegang toch binnenkomen—zeker als monitoring en toegangsbeleid niet toereikend zijn voor het specifieke scenario.
Ook de noodzaak om zeer brede aantallen betrokkenen te rapporteren benadrukt dat de impact van een zorgdatalek vaak verder reikt dan één ziekenhuis of één regio.
Wat kun je nu doen als zorgorganisatie of IT-verantwoordelijke?
Hoewel dit artikel focust op wat er tot nu toe bekend is over het Oracle Health datalek, zijn er lessen die breder toepasbaar zijn. Overweeg de volgende maatregelen:
- Inventariseer legacy systemen en bepaal welke data op oude servers nog beschikbaar is.
- Verifieer dat migraties naar cloudplatformen niet alleen technisch, maar ook beveiligingsmatig zijn afgedekt.
- Beperk en detecteer toegang met strikte rechten, logging en waarschuwingen bij afwijkend gedrag.
- Pak credential-risico’s aan met sterke authenticatie, tijdige intrekkingen en gecontroleerde accounts.
- Oefen incidentrespons zodat je snel kunt handelen wanneer bewijs wijst op ongeautoriseerde toegang tot patiëntdata.
Als je daarnaast wilt lezen hoe credential-gerelateerde aanvallen in de praktijk kunnen escaleren, dan kan dit artikel over een fraudezaak rond MonsterCloud en ransomware-decryptors context geven over de manier waarop aanvallers slachtoffers via data en toegang proberen te raken.
Vergelijkbare zorgdatalekken: het risico is niet nieuw
De berichtgeving plaatst het incident in een bredere trend van grote zorgdatalekken. Alleen al in 2024 werd een ransomwareaanval bij Change Healthcare genoemd die door de omvang van het aantal betrokkenen opvalt. Zulke incidenten laten zien dat zorgorganisaties te maken krijgen met aanvallen die zowel financieel als strategisch worden gemotiveerd.
Ook in eerdere verhalen op onze site over datalekken en risico’s bij gezondheids- en identiteitsgerelateerde gegevens kun je achtergrond vinden. Wil je meer algemene duiding over hoe omgevingen en toegang kwetsbaar kunnen worden, dan is het nuttig om ook aandacht te geven aan patronen zoals credential- en misbruikscenario’s.
Gerichte preventie—en vooral goede detectie—blijft daarom cruciaal, zeker wanneer gegevens en systemen nog niet volledig modern zijn ingericht.
Conclusie: bijna 20 miljoen betrokkenen vraagt om snelle actie
Het Oracle Health datalek lijkt uit te groeien tot een van de grootste zorgdatalekken in de Verenigde Staten. Op basis van meldingen aan toezichthouders en een rapport van de procureur-generaal van Texas komt het mogelijke aantal betrokkenen uit op bijna 20 miljoen.
Wat daarbij opvalt, is het gebruik van gestolen klantcredentials en het feit dat de aanvaller data kon kopiëren vanaf een legacy Cerner server die nog niet was gemigreerd naar Oracle Cloud. Voor zorginstellingen betekent dit vooral: verhoog het zicht op legacy data, verscherp toegangsbeveiliging en borg incidentrespons zodat je sneller kunt reageren wanneer signalen op ongeautoriseerde toegang opduiken.
Bron: https://www.securityweek.com/oracle-health-data-breach-tally-climbs-to-nearly-20-million/
