CareCloudin tietomurto koski yli 3,75 miljoonaa ihmistä

Mitä CareCloudin tietomurrosta tiedetään?

CareCloudin mukaan hakkerit varastivat henkilö- ja terveystietoja 3 756 469 ihmisestä. Määrä on huomattavasti suurempi kuin aiemmin ilmoitettu noin 345 000 henkilöä, joille yhtiö oli aluksi lähettämässä ilmoituksia. 2

Tiedot koskeva tapaus on tällä hetkellä Yhdysvalloissa vuoden 2026 viidenneksi suurin ilmoitettu terveydenhuollon tietomurto. Uhrimäärä voi kuitenkin vielä muuttua tutkinnan edetessä. 2

Milloin ja miten hyökkäys tapahtui?

CareCloud kertoi maaliskuussa verkon häiriöstä, joka keskeytti palveluita noin kahdeksan tunnin ajaksi. Myöhempi tutkinta osoitti, että luvaton taho oli päässyt yhtiön Amazon Web Services (AWS) -pilviympäristöön ja käsitellyt siellä olevia tietoja kuuden päivän ajan maaliskuussa. 2

Saatavilla olevien tietojen mukaan hyökkääjät pääsivät ympäristöön 10.–16. maaliskuuta ja veivät tietoja CareCloudin AWS-tililtä. Julkisuudessa ei ole kerrottu tarkkaa pääsyreittiä, kuten käytettyä haavoittuvuutta tai tunnusten vaarantumisen tapaa. 2

Yhtiö ilmoitti tietomurrosta liittovaltion viranomaisille elokuussa. Yhdysvaltain terveysministeriön (HHS) kansalaisoikeusviraston, Office for Civil Rightsin, julkisessa tietomurtoportaalissa ilmoitetaan yli 500 ihmistä koskevat terveydenhuollon tietomurrot, joita virasto tutkii. 1

Millaisia tietoja varastettiin?

CareCloudin ilmoituksen perusteella varastettuihin tietoihin saattoi kuulua:

• nimiä ja postiosoitteita
• yhdysvaltalaisia sosiaaliturvatunnuksia
• lääketieteellisiä ja muita terveystietoja
• viranomaisten myöntämien henkilöllisyystodistusten tietoja, kuten passi- ja ajokorttinumeroita
• joissakin tapauksissa pankki- ja muita taloudellisia tietoja. 2

Yhdistelmä on erityisen arkaluonteinen, koska terveystietoja voidaan käyttää yhdessä tunniste- ja taloustietojen kanssa esimerkiksi identiteettivarkauksiin tai talouspetoksiin. Lähteet eivät kuitenkaan kerro, kuinka monen henkilön kohdalla kukin tietotyyppi paljastui.

Mikä CareCloud on?

CareCloud on New Jerseyn osavaltiossa toimiva terveydenhuollon teknologiayhtiö. Se tarjoaa sähköisten potilaskertomusten, vastaanottojen hallinnan ja laskutuksen järjestelmiä sairaaloille, lääkärien vastaanotoille ja muille terveydenhuollon toimijoille. 2

Yhtiön rooli teknisenä palveluntarjoajana tarkoittaa, että sen järjestelmissä voi olla tietoja miljoonista potilaista, vaikka potilaat eivät asioisi suoraan CareCloudin kanssa.

Mitä yhtiöstä ei vielä tiedetä?

CareCloud ei ole maaliskuisen ilmoituksensa jälkeen julkaissut kattavaa selvitystä hyökkäyksen yksityiskohdista. Julkisuudessa ei ole vahvistettua tietoa siitä,

• maksettiinko hyökkääjille lunnaita
• kuka vastasi yhtiön kyberturvallisuudesta
• mikä hakkeriryhmä hyökkäyksen takana oli
• oliko yhtiön johdolla asiassa laiminlyöntejä
• aikooko toimitusjohtaja Stephen Snyder erota. 2

Snyderin kerrotaan myös jättäneen vastaamatta näitä kysymyksiä koskeviin tiedusteluihin. Näin ollen julkisesti ei ole vahvistettu lunnaiden maksua, hyökkäyksen tekijää tai toimitusjohtajan mahdollista lähtöä. 2

Miten tapaus vertautuu muihin vuoden 2026 tietomurtoihin?

CareCloudin ilmoitettu uhrimäärä ylittää TriZetto Provider Solutionsin tapauksen, jossa tietoja vaarantui 3 433 965 ihmiseltä. 13

DentaQuestin HHS:lle tekemässä ilmoituksessa asianomaiseksi määräksi on merkitty 15 miljoonaa ihmistä, mikä tekee siitä CareCloudin tapausta suuremman. Myös terveydenhuollon laskutusohjelmistoja tarjoava Craneware kuuluu vuoden näkyviin tapauksiin, mutta sen tietomurron lopullista uhrimäärää ei ole saatavilla. Siksi sitä ei voi sijoittaa luotettavasti samaan paremmuusjärjestykseen CareCloudin kanssa. 13