Ransomware.live informó el 17 de septiembre de 2026 que el grupo BrainCipher afirmó un ataque contra AECOM. El informe identificó el 17 de septiembre de 2026 como la fecha del ataque. Un informe separado describió el incidente como una reclamación no confirmada que involucraba aproximadamente 1.22 terabytes de datos, pero AECOM no había confirmado públicamente la violación en las fuentes revisadas.
El número a nivel de entidad de individuos afectados y los tipos de información personal involucrados no han sido divulgados. Los informes disponibles no confirman la exposición de números de seguro social, información médica, información financiera u otros tipos de datos específicos. No se identificó ninguna presentación regulatoria o notificación oficial de violación en las fuentes revisadas.
Una firma de abogados de demandas colectivas publicó una página de investigación sobre el incidente reportado, pero no se identificó ninguna demanda presentada, demandante nombrado o litigio multidistrital. Podrían surgir más detalles si AECOM o un regulador emite un aviso formal.