La brecha de CareCloud expone los datos de 3,75 millones de pacientes: esto es lo que se sabe

Una cifra que se multiplicó por diez

La brecha de seguridad de CareCloud, una empresa estadounidense de tecnología sanitaria, afecta a 3.756.469 personas, según la información comunicada a los reguladores federales. El dato convierte el incidente en el quinto mayor robo de datos sanitarios notificado en Estados Unidos durante 2026 hasta el momento. 2

La cifra es muy superior a las aproximadamente 345.000 personas que la compañía había identificado inicialmente en sus notificaciones. El alcance definitivo todavía podría cambiar a medida que avance la investigación. 2

Qué ocurrió y cuándo

CareCloud detectó en marzo una interrupción de red que afectó durante unas ocho horas al acceso a uno de sus sistemas. Posteriormente, la investigación forense determinó que un tercero no autorizado había accedido a uno de los entornos de almacenamiento en la nube de la compañía durante seis días de ese mes y había extraído información de su cuenta de Amazon Web Services (AWS). 2

Los registros del incidente sitúan la actividad no autorizada entre el 10 y el 16 de marzo de 2026.

CareCloud comunicó inicialmente el incidente en marzo, pero el número completo de personas afectadas se hizo público después de que la empresa presentara el caso ante la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de Estados Unidos (HHS). El portal federal registra las grandes brechas de información sanitaria protegida que están siendo investigadas. 12

Qué información quedó expuesta

Según la información disponible, los atacantes robaron una combinación especialmente sensible de datos personales y sanitarios, entre ellos:

• nombres y direcciones postales;
• números de la Seguridad Social estadounidense;
• información médica y relacionada con la salud;
• datos de documentos oficiales de identidad, incluidos pasaportes y permisos de conducir;
• y, en algunos casos, información bancaria y otros datos financieros. 2

La combinación de historiales médicos con identificadores personales y datos financieros puede aumentar los riesgos de suplantación de identidad y fraude. No obstante, las fuentes disponibles no han confirmado que se haya producido un uso fraudulento concreto de la información.

Por qué CareCloud tenía acceso a tantos registros

CareCloud, con sede en Nueva Jersey, ofrece tecnología para el sector sanitario. Sus servicios incluyen el almacenamiento de historiales clínicos electrónicos y la gestión de datos de facturación y de consultas médicas para hospitales, médicos y otras organizaciones sanitarias. 2

Como proveedor tecnológico y socio empresarial de esas entidades, la compañía puede manejar información de millones de pacientes aunque no sea directamente el centro médico que los atiende.

Las preguntas que siguen sin respuesta

CareCloud no ha ofrecido públicamente un relato más detallado del ataque desde su primera comunicación en marzo. Tampoco ha respondido, según las informaciones disponibles, a preguntas sobre si se pagó un rescate, quién tenía la responsabilidad de la ciberseguridad o si el director ejecutivo Stephen Snyder planea dimitir. 2

Por ahora, no existe confirmación pública de que se haya pagado un rescate, de que un grupo de ciberdelincuentes concreto se haya atribuido el ataque, de una responsabilidad específica de la dirección o de una salida prevista de Snyder. 2

Cómo se compara con otras brechas de 2026

Con 3.756.469 personas afectadas, el incidente de CareCloud supera el de TriZetto Provider Solutions, que comunicó una brecha relacionada con 3.433.965 personas. 13

La filtración de DentaQuest figura por encima, con 15 millones de personas afectadas en su presentación ante el HHS. 13 Craneware también comunicó en 2026 el robo de una cantidad importante de datos de clientes del sector sanitario, pero las fuentes disponibles no establecen una cifra final comparable; por ello, no es posible situarla con precisión en el mismo ranking. 3

La principal incógnita del caso CareCloud no es ya su magnitud, sino la falta de detalles públicos sobre la vía de entrada, la identidad de los atacantes y las medidas adoptadas después de la intrusión.