פריצת הענק ב־CareCloud: מה ידוע על גניבת המידע של 3.75 מיליון אנשים?

היקף הפריצה ל־CareCloud התברר באוגוסט 2026 כגדול בהרבה מכפי שנמסר בתחילה: החברה דיווחה לרגולטורים הפדרליים בארצות הברית כי האקרים גנבו מידע אישי ורפואי של 3,756,469 בני אדם. לפי הדיווחים, מדובר בדליפת המידע הרפואי החמישית בגודלה שדווחה בארצות הברית מתחילת 2026. 2

המספר החדש גבוה ביותר מפי עשרה מההערכה הראשונית, שעמדה על כ־345 אלף אנשים. החברה החלה לשלוח הודעות לנפגעים לאחר שדיווחה על האירוע, אך רק הדיווח המאוחר למשרד הבריאות ושירותי האנוש האמריקאי — HHS — חשף את ממדי הפריצה המלאים. 2

מה קרה ומתי?

CareCloud מסרה כי גורם לא מורשה קיבל גישה לאחת מסביבות אחסון הענן שלה במשך שישה ימים במהלך מרץ 2026. במהלך התקופה הזו נשלף מידע מחשבון החברה בשירות הענן Amazon Web Services, או AWS. 2

במרץ דיווחה החברה על שיבוש ברשת, שהשפיע על הגישה לאחת ממערכותיה. בהמשך החקירה הפורנזית התברר כי האירוע כלל לא רק הפרעה תפעולית, אלא גם גישה לא מורשית והוצאה של נתונים מהמערכות. היקף הנפגעים שדווח לרשויות באוגוסט עשוי עדיין להשתנות. 2

איזה מידע נגנב?

לפי הדיווח, המידע שההאקרים הצליחו להשיג כלל שילוב רגיש במיוחד של פרטים מזהים ורפואיים:

• שמות וכתובות מגורים;
• מספרי ביטוח לאומי אמריקאיים;
• רשומות רפואיות ומידע על מצב בריאותי;
• פרטי מסמכי זיהוי ממשלתיים, בהם מספרי דרכון ורישיון נהיגה;
• ובמקרים מסוימים — פרטי חשבון בנק ומידע פיננסי נוסף. 2

שילוב כזה עלול לשמש לא רק לגניבת זהות, אלא גם להונאות פיננסיות ולניסיונות התחזות הקשורים לשירותי בריאות.

מהי CareCloud ולמה הייתה לה גישה למידע של מיליונים?

CareCloud היא חברת טכנולוגיות רפואיות שבסיסה בניו ג׳רזי. היא מספקת מערכות לניהול רשומות רפואיות אלקטרוניות, חיובים ונתוני תפעול למרפאות, לרופאים, לבתי חולים ולגופים רפואיים אחרים. 2

משמעות הדבר היא שהחברה פועלת כספקית טכנולוגית עבור ארגוני בריאות רבים, ולכן עשויה להחזיק מידע על מטופלים שאינם לקוחות ישירים שלה. במקרה הזה, פריצה לסביבת החברה השפיעה על מאגר מידע גדול במיוחד.

מה דיווחה החברה לממשל האמריקאי?

CareCloud הגישה דיווח למשרד לזכויות האזרח של HHS. המשרד מנהל פורטל ציבורי שבו מופיעות דליפות של מידע רפואי מוגן, כאשר הן משפיעות על 500 אנשים או יותר ונמצאות בבדיקה. 1

הדיווח שהוגש באוגוסט קבע את היקף האירוע על 3,756,469 אנשים — הנתון שעליו התבססו הדיווחים הציבוריים על הפריצה. 2

מה עדיין לא ידוע?

מאז החשיפה הראשונית של האירוע במרץ, CareCloud לא פרסמה תיאור מלא של אופן החדירה או של השתלשלות האירועים. בין השאלות שנותרו ללא תשובה ברורה:

• כיצד הצליחו התוקפים להיכנס לסביבת AWS;
• האם שולם כופר כלשהו;
• מי היה אחראי על אבטחת הסייבר בזמן התקיפה;
• האם קבוצת תקיפה מסוימת עומדת מאחורי האירוע;
• והאם המנכ״ל סטיבן סניידר צפוי לפרוש מתפקידו. 2

לפי הדיווחים, סניידר לא השיב לשאלות בנושא. נכון למועד הפרסום, אין אישור פומבי לכך ששולם כופר, אין ייחוס רשמי של התקיפה לקבוצת האקרים מסוימת, ואין הודעה מאושרת על פרישת המנכ״ל או על אחריות אישית של הנהלת החברה. 2

כיצד הפריצה משתווה לאירועים אחרים ב־2026?

במועד הדיווח, CareCloud דורגה במקום החמישי בין דליפות המידע הרפואי שדווחו בארצות הברית בשנת 2026. האירוע שלה גדול מהפריצה שעליה דיווחה TriZetto Provider Solutions, שבה נפגעו 3,433,965 אנשים. 13

DentaQuest דיווחה על אירוע גדול אף יותר, עם 15 מיליון אנשים שנכללו בדיווח שלה ל־HHS. 13 גם Craneware הייתה בין החברות הבולטות בענף הבריאות שנפגעו השנה, אך מספר הנפגעים הסופי באירוע שלה לא הובהר בדיווחים הזמינים. לכן אי אפשר לקבוע על סמך הנתונים הקיימים דירוג ישיר שלה מול CareCloud. 3