MedImpact Healthcare Systems, un gestor de beneficios farmacéuticos, descubrió actividad no autorizada en sus sistemas el 18 de octubre de 2025 o alrededor de esa fecha. La empresa completó su investigación el 17 de julio de 2026 y, posteriormente, notificó a las organizaciones clientes afectadas el 13 de agosto de 2026. Las cartas de notificación individual comenzaron a enviarse por correo el 23 de septiembre de 2026.
La filtración expuso varios tipos de información personal y de salud, incluyendo nombres, direcciones, fechas de nacimiento, números de suscriptor o miembro, información de seguro de salud, números de Social Security, información de recetas, información de tratamientos, fechas de servicio, ubicaciones de servicio y nombres de proveedores. Al menos 61,702 individuos fueron afectados, específicamente aquellos asociados con el Leggett & Platt, Inc. Employee Benefits Plan. El U.S. Department of Health and Human Services y el California Attorney General fueron notificados del incidente.
Aunque se han enviado notificaciones, podrían surgir más detalles sobre el alcance total del incidente o sobre cualquier cliente adicional afectado. A los individuos cuyos números de Social Security fueron involucrados se les ofrecieron servicios gratuitos de monitoreo de crédito y protección contra robo de identidad.