Fuite de données CareCloud : 3,75 millions de patients touchés, ce que l’on sait

La fuite de données de CareCloud a changé d’échelle en quelques semaines. L’entreprise américaine de technologies de santé a confirmé aux autorités fédérales que 3 756 469 personnes étaient concernées par le vol de données personnelles et médicales. Ce bilan est plus de dix fois supérieur aux quelque 345 000 personnes initialement identifiées. 2

Ce qui s’est passé

Selon les informations communiquées par CareCloud, un acteur non autorisé a accédé à l’un de ses environnements de stockage dans le cloud entre le 10 et le 16 mars 2026, soit pendant six jours. Les données ont ensuite été exfiltrées depuis son compte Amazon Web Services (AWS), la plateforme cloud utilisée pour héberger et gérer des services informatiques.

CareCloud avait d’abord signalé en mars une perturbation de son réseau, qui avait notamment affecté l’accès à l’un de ses environnements de dossiers médicaux électroniques. L’enquête menée par la suite a permis de revoir fortement à la hausse le nombre de personnes touchées. Le chiffre communiqué aux autorités en août pourrait encore évoluer. 2

Quelles données ont été volées ?

Les informations potentiellement concernées comprennent :

• les noms et adresses postales ;
• les numéros de sécurité sociale américains ;
• des informations médicales et de santé ;
• des données liées à l’assurance santé ;
• des informations figurant sur des pièces d’identité officielles, notamment des numéros de passeport et de permis de conduire ;
• pour certaines personnes, des informations bancaires et d’autres données financières. 2

La combinaison de dossiers médicaux et d’identifiants personnels rend ce type d’incident particulièrement sensible : les données peuvent exposer les personnes concernées à des risques d’usurpation d’identité ou de fraude financière. Les sources disponibles ne permettent toutefois pas de déterminer publiquement quelles données précises ont été volées pour chaque personne.

Pourquoi CareCloud détient-elle autant de données ?

Basée dans le New Jersey, CareCloud fournit des logiciels et des services informatiques aux acteurs de santé. L’entreprise stocke des dossiers médicaux électroniques et traite des données liées à la facturation et à la gestion des cabinets pour des hôpitaux, des médecins et d’autres structures de soins. Cette position de prestataire lui donne accès à des informations concernant des millions de patients. 2

Ce que révèle le signalement aux autorités américaines

CareCloud a déclaré la violation au Bureau des droits civils (Office for Civil Rights) du département américain de la Santé et des Services sociaux, ou HHS. Ce portail public répertorie les violations de données de santé protégées touchant au moins 500 personnes et faisant l’objet d’un examen. 1

Le signalement d’août a officialisé l’ampleur de l’incident dans les données publiques du HHS : 3,75 millions de personnes, contre environ 345 000 dans les premières notifications adressées aux personnes concernées. 2

Les questions qui restent sans réponse

CareCloud n’a pas fourni publiquement de récit détaillé de l’attaque depuis sa première communication en mars. D’après les informations disponibles, son directeur général, Stephen Snyder, n’a pas répondu aux questions portant notamment sur :

• un éventuel paiement de rançon ;
• l’identité du responsable de la cybersécurité au sein de l’entreprise ;
• une éventuelle démission du dirigeant.

À ce stade, il n’existe donc aucune confirmation publique d’un paiement de rançon, de l’implication d’un groupe de pirates identifié, d’une responsabilité particulière de la direction ou d’un départ annoncé de Stephen Snyder. 2

Où se situe cette fuite parmi les incidents de 2026 ?

Au moment de sa déclaration, l’incident CareCloud se classait au cinquième rang des vols de données de santé signalés aux États-Unis en 2026. Il dépasse notamment la fuite attribuée à TriZetto Provider Solutions, qui concernait 3 433 965 personnes. 13

Le dossier de DentaQuest transmis au HHS fait état de 15 millions de personnes touchées, soit un bilan nettement supérieur. Craneware figure également parmi les incidents importants de l’année dans le secteur de la santé, mais le nombre final de personnes concernées n’était pas établi dans les informations disponibles. Il n’est donc pas possible de le classer directement par rapport à CareCloud sur la seule base du volume de victimes. 13