Paradigm Healthcare Services heeft bij het Amerikaanse ministerie van Health and Human Services (HHS) gemeld dat een datalek mogelijk 970.000 Medi-Cal-leden heeft geraakt. Het incident draait om ongeautoriseerde toegang tot een lokale IT-omgeving, met als gevolg dat er bestanden met beschermde gezondheidsinformatie zijn benaderd.
Wat opvalt: de melding bevat wél informatie over welke gegevens zijn ingezien, maar gaat nauwelijks in op wie het gedaan heeft of hoe de aanvaller binnenkwam.
Wat is het Medi-Cal datalek bij Paradigm?
Paradigm verwerkt billing voor Medi-Cal, het Medicaid-programma van Californië. Daarbij beheert het bedrijf Medi-Cal lid-ID’s namens de relevante overheidsdienst. In 2025 startte het incident naar eigen zeggen met ongeautoriseerde toegang tot het lokale netwerk.
Paradigm stelt dat het op 13 oktober 2025 de ongeautoriseerde toegang ontdekte. Vervolgens werd volgens het bedrijf op 18 augustus 2026 vastgesteld dat bepaalde bestanden mogelijk zijn ingezien door een onbevoegde partij in de periode van 8 oktober 2025 tot en met 15 oktober 2025.
Welke gegevens waren betrokken?
De gecompromitteerde bestanden bevatten gegevens die relevant zijn voor identiteit én gezondheidsadministratie. Paradigm noemt specifiek:
- namen
- geboortedata
- geslacht
- Medi-Cal member identification numbers
Volgens Paradigm was de online service-documentatie en de billing- of platformomgeving Student Health Network (SHN) niet geraakt.
Wanneer werd bekendgemaakt en wat zegt Paradigm?
De kennisgevingsbrieven zijn gedateerd op 14 september 2026. Dat is grofweg 11 maanden na de ontdekking van de ongeautoriseerde toegang. Het bedrijf geeft daarmee duidelijk aan dat de impactbeoordeling en afhandeling in de praktijk veel tijd kost, zeker wanneer de forensische analyse en scope-bepaling complex zijn.
In de brieven stelt Paradigm dat er geen aanwijzingen zijn dat de informatie is gebruikt om fraude of identiteitsdiefstal te plegen als gevolg van het incident.
Beperkte transparantie over aanval en datastromen
Hoewel de melding richting betrokkenen wel de belangrijkste impactpunten beschrijft, blijft een aantal vragen open. De kennisgeving noemt namelijk:
- geen naam van de dreigingsacteur
- geen uitleg over de manier waarop de aanvallers toegang kregen
- geen expliciete uitspraken over exfiltratie (of: of data daadwerkelijk is buitgemaakt)
Daarnaast meldt Paradigm dat het bepaalde systemen heeft uitgeschakeld, de politie/handhavingsinstanties heeft geïnformeerd en externe experts voor incident response heeft ingeschakeld.
Geen claim van bekende cybercrimegroepen
Verder is er volgens de beschikbare informatie geen bekende cybercrimegroep die publiekelijk verantwoordelijkheid nam voor de aanval op Paradigm. Dat betekent niet dat het incident “kleiner” is—het geeft vooral aan dat de dader niet (of niet publiek) is geïdentificeerd.
Meer meldingen in de zorgsector: TKD en Ridgeway Pharmacy
Deze Medi-Cal casus staat niet op zichzelf. In de HHS-tracker voor zorggerelateerde datalekken zijn volgens dezelfde bron ook andere incidenten zichtbaar.
Tarter Krinsky & Drogin (TKD)
Het advocatenkantoor TKD, dat zorgaanbieders bedient, begon begin september met het informeren van betrokkenen nadat het in september 2025 verdachte activiteiten op zijn netwerk had ontdekt. TKD rondde het onderzoek pas een jaar later af.
Volgens TKD vonden aanvallers toegang tot bepaalde servers plaats tussen 9 juli 2025 en 9 september 2025. Het incident zou meer dan 196.000 personen hebben geraakt.
Ridgeway Pharmacy Ltd
Ook Ridgeway Pharmacy meldde een incident dat begon met onbevoegde toegang tot persoonlijke informatie. De organisatie startte de notificaties op 21 september 2026 nadat het op 21 augustus 2026 een hack op zijn website had ontdekt.
Ridgeway geeft aan dat de aanvaller mogelijk informatie heeft ingezien zoals naam, adres, geboortedatum, gezondheids- en verzekeringsinformatie, voorschriftinformatie en betalingskaartgegevens. Het bedrijf stelt dat meer dan 258.000 personen zijn getroffen.
Wat kun je hier als organisatie van leren?
Los van de exacte oorzaak van de aanval bij Paradigm wijzen dit soort zorgdatalekken meestal op dezelfde aandachtspunten: scope, detectie, gegevensbescherming en snelheid van communicatie. Ook wanneer een platformdeel zoals SHN niet betrokken was, blijft de vraag: welke systemen wél toegang verleenden tot gevoelige bestanden?
Een paar praktische lessen die je direct kunt vertalen naar beleid en controles:
- Beperk het datagebruik: zorg dat systemen alleen de minimale data verwerken die nodig zijn.
- Monitor ongeautoriseerde toegang: combineer logging met detectie op afwijkend gedrag.
- Werk toe naar snellere forensische scope-bepaling: hoe sneller je duidelijk hebt welke bestanden geraakt zijn, hoe sneller je gericht kunt handelen.
- Leg datastromen vast: als je weet waar gegevens staan en hoe ze bewegen, kun je beter inschatten of exfiltratie aan de orde is.
Als je de aanpak achter afhandeling van incidenten wilt vergelijken met andere casussen op de site, is het relevant om te lezen hoe organisaties reageren op compromittering en welke praktische stappen daarbij horen.
Daarbij kun je bijvoorbeeld kijken naar Bron: https://www.securityweek.com/970000-medi-cal-members-affected-by-paradigm-healthcare-data-breach/
