Perusahaan teknologi kesehatan Craneware mengonfirmasi adanya kebocoran data setelah pihak tidak dikenal masuk ke sebagian lingkungan penyimpanan datanya. Sejumlah data milik karyawan, pelanggan, dan mitra perusahaan diketahui telah diakses serta dibawa keluar dari sistem.
Craneware mengumumkan insiden tersebut pada 20 Juli 2026. Perusahaan yang berbasis di Edinburgh, Skotlandia, itu menyatakan serangan sudah berhasil dibatasi dan tidak mengganggu layanan pelanggan maupun kegiatan operasionalnya.
Tim keamanan dari luar perusahaan juga tidak menemukan tanda bahwa pelaku masih memiliki akses ke sistem Craneware. Investigasi tetap berjalan untuk mengetahui data apa saja yang terdampak dan siapa yang perlu mendapat pemberitahuan langsung. (sumber: pengumuman resmi Craneware)
Volume Nama File yang Diambil Disebut Cukup Besar
Hasil pemeriksaan awal menemukan volume nama file yang dilihat dan diambil pelaku tergolong signifikan. Namun, Craneware menilai sebagian besar data tersebut tidak bersifat sensitif atau sudah tersedia untuk publik sebagai bagian dari informasi regulasi.
Masalahnya, tidak semua file masuk dalam kelompok tersebut. Perusahaan mengakui sebagian data karyawan Craneware ikut terdampak. Sejumlah catatan milik pelanggan dan mitra juga telah diakses serta dibawa keluar.
Craneware belum menjelaskan isi setiap file, jumlah orang yang terdampak, maupun apakah data tersebut berisi informasi pribadi seperti alamat, nomor identitas, data keuangan, atau informasi kesehatan. Perusahaan juga belum mengungkap cara pelaku mendapat akses ke sistem.
Karena pemeriksaan masih berlangsung, penggunaan istilah “kebocoran data pasien” belum dapat dibenarkan. Pengumuman perusahaan hanya menyebut data karyawan serta sebagian catatan pelanggan dan mitra. Tidak ada konfirmasi bahwa rekam medis atau informasi pasien ikut dicuri.
Craneware Libatkan FBI dan Regulator Inggris
Craneware sudah melaporkan kejadian tersebut kepada Information Commissioner’s Office atau ICO di Inggris. Laporan juga diberikan kepada Federal Bureau of Investigation atau FBI di Amerika Serikat.
Dewan perusahaan menunjuk tenaga keamanan siber dan tim forensik dari luar untuk mendampingi tim IT internal. Mereka bekerja bersama penyedia layanan keamanan yang selama ini digunakan Craneware untuk memeriksa jangkauan serangan serta mencari kemungkinan akses lain.
Perusahaan sedang menyusun daftar pihak yang datanya mungkin terdampak. Pemberitahuan tambahan akan diberikan kepada regulator atau pemilik data jika diwajibkan oleh aturan di wilayah terkait.
Belum ada informasi tentang siapa yang menjalankan serangan, apakah pelaku meminta tebusan, atau apakah data yang dicuri sudah ditawarkan di forum online. Craneware juga belum menyebut tanggal awal saat akses tanpa izin pertama kali terjadi.
Perusahaan Menangani Data Keuangan Rumah Sakit
Craneware membuat software yang membantu rumah sakit dan organisasi kesehatan di Amerika Serikat mengelola pendapatan, harga layanan, biaya operasional, farmasi, serta program 340B. Produk perusahaan dikumpulkan dalam platform cloud bernama Trisus.
Melalui platform tersebut, pelanggan dapat menghubungkan data keuangan dan operasional untuk memeriksa pendapatan, biaya perawatan, harga, serta kepatuhan. Craneware menyebut sistemnya dibangun menggunakan Microsoft Azure dengan kontrol keamanan yang disesuaikan untuk kebutuhan sektor kesehatan. (sumber: The Craneware Group)
Posisi Craneware sebagai penyedia teknologi bagi rumah sakit membuat kebocoran tersebut mendapat perhatian lebih besar. File pelanggan dan mitra dapat berisi informasi bisnis yang bernilai, meskipun tidak memuat rekam medis pasien.
Data tentang kontrak, sistem pembayaran, struktur harga, akun pengguna, kontak pegawai, atau proses internal dapat dipakai untuk membuat email phishing yang lebih meyakinkan. Pelaku juga bisa menghubungi karyawan atau pelanggan dengan menyamar sebagai pihak yang sudah dikenal.
Karena jenis file yang dicuri belum dijelaskan, karyawan dan organisasi yang bekerja sama dengan Craneware belum bisa mengetahui risiko secara penuh. Mereka perlu menunggu pemberitahuan resmi yang menjelaskan apakah informasi miliknya termasuk dalam data yang diambil.
Craneware menyatakan insiden telah dibatasi, layanan pelanggan tidak terganggu, dan tidak ada lagi tanda pelaku tersisa di dalam sistem. Perusahaan masih menilai cakupan data yang terdampak dan akan memberikan pembaruan kepada pasar jika ada informasi baru.
