ニュージャージー州の法律事務所Greenbaum Rowe Smith & Davis LLPは、医療機関向けの法務サービスを提供しており、業務上、顧客である病院・医療システムの患者データにアクセスする権限を有していた。同事務所は2025年11月27日、従業員アカウントが侵害されたことを通じてシステムへの不正アクセスが発生していたことを検知した。検知後直ちにシステムを保護し、パスワードのリセットと侵害端末の交換を実施したほか、法執行機関に通報し、外部のサイバーセキュリティ専門家によるフォレンジック調査を開始した。
2026年4月15日に終了した調査の結果、不正な第三者が同事務所のシステムから患者の保護対象保健情報（PHI）を取得していたことが確認された。影響を受けたのは、同事務所が法務顧問を務めるAtlantic Health System、Hackensack Meridian Health、Trinitas Regional Medical Center（RWJBarnabas Health傘下）の患者12,801人分の情報で、対象者ごとに氏名・住所・生年月日・社会保障番号・医療記録番号・既往歴・診療提供者情報・医療費請求情報・健康保険情報などが含まれていた。米保健福祉省市民権局（HHS OCR）の医療情報漏えい報告データベースには2026年5月18日付で登録された。
Hackensack Meridian Healthは、本件が「自社のシステム上では発生していない」とし、侵害は顧問弁護士事務所側のインフラで生じたものであると説明している。顧客病院の一つであるTrinitas Regional Medical Center（RWJBarnabas Health）は2026年6月30日、自院ウェブサイトに「ベンダーによるセキュリティインシデントに関するお知らせ」を掲載し、患者への注意喚起を行った。Greenbaum Rowe社は2026年7月8日頃から対象患者への郵送通知を開始し、無償の信用監視・本人確認盗用対策サービスおよび専用コールセンター（IDX社運営）を提供している。公表時点で、流出したデータが公開または不正利用された証拠は確認されていないという。
同事務所は再発防止策として、追加の監視・検知ツールの導入によるセキュリティ体制の強化、物理的・電子的安全管理措置の定期的な見直しなどを実施したと説明している。本件は、病院本体のシステムではなく、患者データにアクセス権を持つ委託先（顧問弁護士事務所）が攻撃を受けたことで、複数の大手医療システムの患者に影響が連鎖したサードパーティ・サプライチェーン型の事例である。