CareCloud-datalæk rammer 3,75 millioner mennesker: Dette ved vi

CareCloud har oplyst til de amerikanske myndigheder, at hackere stjal personlige og medicinske oplysninger om 3.756.469 mennesker. Det gør hændelsen til det femtestørste rapporterede datatyveri fra den amerikanske sundhedssektor i 2026 indtil videre. Tallet er markant højere end de cirka 345.000 personer, som først blev identificeret som berørte. 2

Hvad skete der?

Angriberne fik adgang til et af CareClouds cloudbaserede lagermiljøer i seks dage i marts 2026. I løbet af perioden blev data hentet ud af virksomhedens konto hos Amazon Web Services (AWS), som er en cloudplatform, hvor virksomheder kan opbevare og behandle data. 2

CareCloud havde allerede i marts oplyst, at selskabet havde oplevet en netværksforstyrrelse. Den oprindelige hændelse påvirkede adgangen til en af virksomhedens databaser i omkring otte timer, men den efterfølgende undersøgelse viste, at en uautoriseret part havde haft adgang til et AWS-miljø over en længere periode. 2

Det samlede antal berørte blev først officielt synligt i CareClouds rapportering til det amerikanske sundhedsministerium, U.S. Department of Health and Human Services (HHS), i august. Opgørelsen kan fortsat blive ændret, hvis undersøgelsen afdækker nye oplysninger. 12

Hvilke oplysninger blev stjålet?

Ifølge rapporteringen omfattede de stjålne data blandt andet:

• navne og postadresser
• amerikanske Social Security-numre, der blandt andet bruges som identifikation
• medicinske oplysninger og helbredsdata
• oplysninger fra offentligt udstedte identitetsdokumenter, herunder pas- og kørekortnumre
• bankoplysninger og andre finansielle oplysninger for nogle af de berørte personer. 2

Kombinationen af helbredsoplysninger og identitets- eller finansielle data kan gøre et sådant datalæk særligt følsomt. De tilgængelige oplysninger fastslår dog ikke, hvordan de stjålne data konkret er blevet eller vil blive misbrugt.

Hvad laver CareCloud?

CareCloud er en sundhedsteknologivirksomhed med base i New Jersey. Selskabet leverer blandt andet elektroniske patientjournaler og systemer til administration og fakturering for hospitaler, lægeklinikker og andre sundhedsvirksomheder. 2

Det betyder, at CareCloud fungerer som teknologileverandør og databehandler for sundhedspraksisser, der bruger platformene til at opbevare patientjournaler og håndtere oplysninger om behandlinger, forsikring og betaling. Derfor kan et sikkerhedsbrud hos leverandøren påvirke data om millioner af patienter – også selv om patienterne ikke selv har haft en konto hos CareCloud.

Hvad har myndighederne fået at vide?

CareCloud har indberettet hændelsen til HHS’ Office for Civil Rights (OCR). Kontoret fører et offentligt register over større brud på beskyttede sundhedsoplysninger, som fortsat er under undersøgelse. Registeret omfatter blandt andet hændelser, der berører mindst 500 personer. 1

HHS’ registrering er grundlaget for det offentligt rapporterede tal på 3.756.469 berørte mennesker. 12

Hvilke spørgsmål er stadig ubesvarede?

CareCloud har ikke offentligt givet en mere detaljeret redegørelse siden den første meddelelse i marts. Ifølge den tilgængelige rapportering har administrerende direktør Stephen Snyder heller ikke svaret på spørgsmål om:

• hvorvidt CareCloud betalte en løsesum
• hvem der havde det overordnede ansvar for cybersikkerheden
• om han planlægger at træde tilbage. 2

Der er derfor ikke offentligt bekræftet, at der blev betalt løsesum. Der er heller ikke fastslået en bestemt hackergruppe, placeret et dokumenteret ledelsesansvar eller meldt en planlagt afgang for Snyder ud. 2

Hvordan ligger CareCloud i forhold til andre databrud?

CareCloud-hændelsen er på tidspunktet for offentliggørelsen det femtestørste rapporterede datatyveri i den amerikanske sundhedssektor i 2026. Den er større end bruddet hos TriZetto Provider Solutions, hvor 3.433.965 personer blev angivet som berørte. 13

DentaQuest har rapporteret det største af de nævnte brud med 15 millioner berørte personer. Craneware har også meldt om et større cybersikkerhedsbrud i sundhedssektoren i 2026, men det tilgængelige materiale angiver ikke et endeligt og direkte sammenligneligt antal berørte personer. Derfor kan Craneware ikke placeres sikkert på samme rangliste som CareCloud. 13