Xsolis, Inc.（エクソリス）はテネシー州ナッシュビルを本拠地とするヘルスケアAI企業であり、AIを活用したユーティリゼーション管理（医療資源の適正利用管理）・収益サイクル改善・ペイヤーとプロバイダー間の協調支援ソリューションを全米の大手病院システムに提供している。Mayo Clinicをはじめとする7大病院システムがXsolisのプラットフォームを通じて患者の医療情報を処理していた。Humanaとの提携関係も有しており、保険ペイヤーと病院の診療判断の連携に関与していた。
2026年1月20日、Xsolisの従業員1名に対して標的型フィッシングメールが送付された。このメールに応答した従業員のアカウントが侵害され、攻撃者はXsolisのネットワーク内に侵入してファイルを窃取した。侵入から2日後の2026年1月22日、Xsolisは不正なアクティビティを検知・封じ込めに成功し、侵害されたホストとユーザーアカウントを隔離のうえ外部のサイバーセキュリティ専門家による調査を開始した。以降、Xsolis環境内での不正アクティビティの再発は確認されていない。
フォレンジック調査の結果、攻撃者は2日間の侵入期間中にXsolisが管理する7つの病院システムの患者情報を含むファイルにアクセスし窃取したことが判明した。漏えいの可能性がある情報は個人によって異なり、氏名・住所・生年月日・健康保険情報・社会保障番号・医療処置情報が含まれる。
Xsolisは2026年6月5日、米国保健福祉省（HHS）の公民権室（OCR）へ届出を行い、被害者への通知書の郵送を開始した。同月22日、HHS OCRが公式のブリーチポータルにXsolisの届出を1,396,519人として公開掲載したことで本インシデントが広く報道された。Xsolisは被害者に2年間のクレジットモニタリングサービスを無償で提供している。本件は2026年上半期における米国の医療データ侵害として最大規模の事案の一つとなった。攻撃者の身元および所属グループは調査時点で特定されていない。