اختراق CareCloud يكشف بيانات 3.75 مليون شخص: التفاصيل المعروفة حتى الآن

ما حجم اختراق CareCloud؟

أعلنت شركة CareCloud أن قراصنة سرقوا بيانات شخصية وسجلات طبية تخص 3,756,469 شخصًا. ويجعل هذا الرقم الحادثة خامس أكبر اختراق مُبلّغ عنه لبيانات قطاع الرعاية الصحية في الولايات المتحدة خلال عام 2026 حتى تاريخ الكشف عنها. 2

ويزيد العدد النهائي بأكثر من عشرة أضعاف تقريبًا عن التقدير الأولي الذي بلغ نحو 345 ألف شخص، وهو الرقم الذي ارتبط بإخطارات أولية للمتضررين. وقد أُدرج العدد الأحدث في بلاغ الشركة إلى وزارة الصحة والخدمات الإنسانية الأمريكية، ولا يزال من الممكن أن يتغير مع استمرار التحقيق. 12

متى وكيف وقع الهجوم؟

بدأت القصة في مارس 2026، عندما كشفت CareCloud عن اضطراب في شبكتها أدى إلى تعطّل الخدمة لنحو ثماني ساعات. وأظهر التحقيق الجنائي الرقمي اللاحق أن طرفًا غير مصرح له تمكن من الوصول إلى إحدى بيئات التخزين السحابية التابعة للشركة خلال فترة امتدت ستة أيام في مارس، ثم قام باستخراج بيانات من حساب CareCloud على منصة Amazon Web Services (AWS). 2

ولا تتوافر، حتى الآن، معلومات علنية مؤكدة عن طريقة الدخول الأولى إلى البيئة السحابية، أو عن هوية المهاجمين، أو المجموعة الإجرامية التي تقف وراء العملية. كما لا توجد أدلة عامة مؤكدة على دفع فدية أو على أن الهجوم نُسب إلى جهة محددة. 2

ما نوع البيانات التي سُرقت؟

بحسب المعلومات المبلّغ عنها، تضمنت البيانات التي وصل إليها المهاجمون أو استخرجوها:

• أسماء الأشخاص وعناوينهم البريدية؛
• أرقام الضمان الاجتماعي الأمريكية؛
• معلومات وسجلات طبية وصحية؛
• بيانات وثائق هوية حكومية، من بينها أرقام جوازات السفر ورخص القيادة؛
• معلومات التأمين الصحي وتواريخ الميلاد، وفق تفاصيل إضافية في سجلات الحادثة؛
• بيانات مصرفية ومعلومات مالية أخرى لبعض الأشخاص. 2

وتجمع هذه البيانات بين معلومات صحية شديدة الحساسية وبيانات يمكن استغلالها في انتحال الهوية أو الاحتيال المالي، ما يرفع من خطورة الحادثة على المتضررين، حتى مع بقاء تفاصيل الاستخدام الفعلي للبيانات غير معلنة.

ما دور CareCloud في قطاع الرعاية الصحية؟

CareCloud شركة متخصصة في تكنولوجيا الرعاية الصحية، وتتخذ من ولاية نيوجيرسي الأمريكية مقرًا لها. وتوفر خدمات تشمل حفظ السجلات الطبية الإلكترونية وإدارة العيادات وبيانات الفوترة والممارسات الطبية للمستشفيات وعيادات الأطباء ومؤسسات رعاية صحية أخرى. 2

وبحكم عملها كمزود تقني وشريك أعمال لهذه الجهات، تستطيع الشركة تخزين أو معالجة معلومات تخص ملايين المرضى، حتى عندما لا تكون CareCloud هي الجهة التي قدمت الرعاية الطبية مباشرة.

ماذا قالت الجهات التنظيمية الأمريكية؟

قدمت CareCloud بلاغ الاختراق إلى مكتب الحقوق المدنية التابع لوزارة الصحة والخدمات الإنسانية الأمريكية (HHS). ويعرض المكتب عبر بوابته العامة الاختراقات الكبيرة التي تشمل 500 شخص أو أكثر، وتكون قيد التحقيق بموجب القواعد الفيدرالية لحماية المعلومات الصحية. 1

وكان إدراج الحادثة وتحديث عدد المتضررين في أغسطس 2026 أول تأكيد رسمي واضح للحجم الذي تجاوز 3.75 مليون شخص. 12

ما الذي لم تجب عنه الشركة؟

لم تقدم CareCloud منذ إفصاحها الأول في مارس شرحًا علنيًا كاملًا للهجوم. كما أفادت تقارير بأن الرئيس التنفيذي ستيفن سنايدر لم يرد على أسئلة تتعلق بما إذا كانت الشركة دفعت فدية، ومن كان يتولى مسؤولية الأمن السيبراني، وما إذا كان يعتزم الاستقالة. 2

لذلك، لا يوجد حتى الآن تأكيد علني بشأن:

• دفع فدية للمهاجمين؛
• هوية القراصنة أو انتمائهم إلى مجموعة معروفة؛
• تحميل الإدارة مسؤولية محددة عن الاختراق؛
• وجود خطة معلنة لاستقالة سنايدر. 2

كيف تقارن الحادثة باختراقات 2026 الأخرى؟

تحتل حادثة CareCloud المرتبة الخامسة بين أكبر سرقات بيانات الرعاية الصحية المُبلّغ عنها في الولايات المتحدة خلال 2026 وقت الكشف عنها. وهي أكبر من حادثة TriZetto Provider Solutions التي شملت 3,433,965 شخصًا، وفق البيانات المعلنة. 13

أما شركة DentaQuest، فقد أظهر بلاغها إلى HHS تأثر 15 مليون شخص، لتكون أكبر بكثير من حادثة CareCloud. كما كانت Craneware من بين أبرز حوادث قطاع التكنولوجيا الصحية خلال العام، لكن العدد النهائي للأشخاص المتضررين منها لم يكن محددًا في التقارير المتاحة؛ لذلك لا يمكن ترتيبها ترتيبًا مباشرًا مقابل CareCloud على أساس عدد الضحايا. 13

ويعني ذلك أن أهمية حادثة CareCloud لا ترتبط بحجمها فقط، بل أيضًا بالفارق الكبير بين التقدير الأولي والعدد الذي ظهر لاحقًا في السجل الفيدرالي، وبنوعية البيانات التي كانت موجودة في بيئة سحابية تخدم مؤسسات صحية متعددة.