HCRGケアグループ（HCRG Care Group）は、英国全土で国民保健サービス（NHS）トラストおよび地方自治体と連携して医療・社会的ケアを提供する民間医療会社である。緊急ケア・性的健康・成人および小児の地域ケア・プライマリケアを専門とし、5,000人超の職員を擁して英国全土の50万人以上の患者にサービスを提供している。
2025年2月18日、Medusa（メデューサ）ランサムウェアグループが自グループのダークウェブ（Torネットワーク上）のリークサイトにHCRGを掲載し、2.275TBのデータを窃取したと主張して200万ドルの身代金を要求した（支払期限：2025年2月28日）。翌2月20日、HCRGは「ITセキュリティインシデントを現在調査中」と公式に認め、即座の封じ込め措置を実施したと発表した。同グループは英国の情報コミッショナー室（ICO）および関係当局への届出を行い、外部のサイバーセキュリティ・フォレンジック専門家を起用して調査を開始した。医療サービスは引き続き通常通り提供された。
Medusaが公開したデータサンプルには職員の個人情報・患者の医療記録・財務記録・パスポートや出生証明書などの政府発行身分証明書が含まれており、独立系セキュリティ調査機関SuspectFileがこれらを詳細に分析・公表した。Medusaは期限後も2025年2月26日に追加データ（50TB超と主張）を公開した。HCRGの法律事務所はその後、英国高等法院から報道禁止命令（インジャンクション）を取得し、同判決を根拠に一部報道機関に対して関連記事の削除を求めた。
攻撃から15ヶ月以上が経過した2026年6月中旬、HCRGはようやく患者への正式通知を開始した。通知に含まれる個人情報には生年月日・住所・国民保険番号・電話番号・病院番号が含まれるとされる。HCRGは通知の大幅な遅延について「不確実な詳細情報が存在したため」と説明し、「データが悪用されたという証拠はいかなる時点においても確認されていない」とした。初期アクセスの手法（侵入経路）は本件記録時点で公表されていない。