Violazione CareCloud, oltre 3,75 milioni di pazienti coinvolti: cosa sappiamo

La violazione informatica di CareCloud è molto più ampia di quanto inizialmente indicato: l’azienda ha riferito che gli hacker hanno sottratto dati personali e sanitari di 3.756.469 persone. Il numero la rende, al momento della comunicazione, la quinta più grande violazione di dati sanitari segnalata negli Stati Uniti nel 2026. 2

La cifra è inoltre nettamente superiore alle circa 345.000 persone che erano state inizialmente indicate nelle notifiche. 2

Che cosa è successo

Secondo CareCloud, gli aggressori hanno avuto accesso a uno degli ambienti di archiviazione cloud dell’azienda per sei giorni nel marzo 2026. In seguito hanno esfiltrato dati dall’account CareCloud su Amazon Web Services (AWS), la piattaforma cloud di Amazon utilizzata per ospitare e gestire sistemi e informazioni digitali. 2

L’azienda aveva già segnalato a marzo un’interruzione della rete. La portata effettiva dell’incidente è emersa solo in seguito, quando il numero delle persone coinvolte è stato comunicato al Department of Health and Human Services (HHS), il dipartimento federale statunitense per la salute. Il conteggio potrebbe ancora cambiare. 2

Quali dati sono stati sottratti

Il materiale compromesso comprendeva diverse categorie di informazioni sensibili, tra cui:

• nomi e indirizzi postali;
• numeri di Social Security, l’identificativo previdenziale utilizzato negli Stati Uniti;
• informazioni mediche e sanitarie;
• dati relativi a documenti d’identità rilasciati dalle autorità, compresi numeri di passaporto e patente di guida;
• per alcune persone, informazioni bancarie e altri dati finanziari. 2

La combinazione di dati sanitari, identificativi e finanziari può esporre le persone coinvolte a rischi di furto d’identità e frodi, anche se le fonti disponibili non indicano che tali conseguenze si siano già verificate.

Perché CareCloud custodisce così tanti dati

CareCloud è un’azienda di tecnologia sanitaria con sede nel New Jersey. Fornisce a ospedali, studi medici e altre strutture sanitarie servizi per la gestione delle cartelle cliniche elettroniche, della fatturazione e dei dati relativi alle attività degli ambulatori. 2

In qualità di fornitore tecnologico e di business associate — cioè un soggetto che tratta dati sanitari per conto di organizzazioni coperte dalla normativa statunitense HIPAA — CareCloud può avere accesso alle informazioni di milioni di pazienti.

La segnalazione alle autorità federali

La società ha registrato la violazione presso l’Office for Civil Rights (OCR) dell’HHS. L’OCR gestisce un portale pubblico che elenca le violazioni di informazioni sanitarie protette che coinvolgono almeno 500 persone e che sono attualmente oggetto di esame. 1

La segnalazione di agosto ha reso pubblico il dato aggiornato di oltre 3,75 milioni di persone coinvolte. 2

Che cosa non è ancora chiaro

Dopo la prima comunicazione di marzo, CareCloud non ha fornito pubblicamente un resoconto completo dell’attacco. Secondo le ricostruzioni disponibili, l’amministratore delegato Stephen Snyder non ha risposto alle domande relative a:

• un eventuale pagamento di un riscatto;
• la responsabilità interna della sicurezza informatica;
• una possibile uscita dalla carica di amministratore delegato. 2

Non esistono quindi, al momento, conferme pubbliche sul pagamento di un riscatto, sull’attribuzione dell’attacco a uno specifico gruppo criminale, su responsabilità dirigenziali o su dimissioni pianificate di Snyder. 2

Il confronto con le altre violazioni del 2026

Al momento della comunicazione, l’incidente CareCloud risultava il quinto più grande furto di dati sanitari segnalato negli Stati Uniti nel 2026. È più esteso della violazione attribuita a TriZetto Provider Solutions, che ha coinvolto 3.433.965 persone. 13

Il dato riportato da HHS per DentaQuest arriva invece a 15 milioni di persone coinvolte, il valore più alto tra quelli citati nelle fonti disponibili. 13

Anche Craneware è stata interessata da una significativa violazione nel settore sanitario nel 2026, ma il numero finale delle persone coinvolte non è stato stabilito nelle informazioni disponibili. Per questo non è possibile collocarla in modo diretto nella classifica insieme a CareCloud. 3