Kebocoran data CareCloud dedah rekod 3.75 juta pesakit

Apa yang berlaku?

CareCloud, penyedia teknologi penjagaan kesihatan yang berpangkalan di New Jersey, Amerika Syarikat, mengesahkan bahawa serangan siber terhadap sistemnya menjejaskan 3,756,469 individu. Jumlah itu menjadikan insiden tersebut kebocoran data penjagaan kesihatan kelima terbesar yang dilaporkan di Amerika Syarikat setakat 2026. Angka itu juga jauh lebih tinggi berbanding kira-kira 345,000 orang yang pada mulanya dimaklumkan sebagai terjejas. 2

Syarikat itu mula mendedahkan gangguan rangkaian pada Mac 2026. Siasatan forensik kemudian mendapati pihak tidak dibenarkan telah mengakses salah satu persekitaran storan awan CareCloud antara 10 hingga 16 Mac, iaitu selama enam hari, sebelum mengekstrak data daripada persekitaran Amazon Web Services (AWS) milik syarikat. 2

Data apa yang dicuri?

Maklumat yang dipercayai diakses atau dicuri merangkumi:

• nama dan alamat surat-menyurat;
• nombor Keselamatan Sosial;
• maklumat kesihatan dan rekod perubatan;
• maklumat insurans kesihatan;
• data pengenalan kerajaan, termasuk nombor pasport dan lesen memandu; dan
• bagi sesetengah individu, maklumat perbankan serta data kewangan lain. 2

Gabungan rekod perubatan dengan pengenalan diri dan maklumat kewangan menjadikan insiden seperti ini amat sensitif. Namun, jenis data yang terjejas mungkin berbeza mengikut individu; tidak semestinya semua mangsa mempunyai setiap kategori maklumat yang disenaraikan.

Mengapa CareCloud mempunyai data berjuta-juta pesakit?

CareCloud menyediakan perisian dan perkhidmatan teknologi untuk organisasi penjagaan kesihatan. Perkhidmatannya termasuk penyimpanan rekod perubatan elektronik serta pengurusan data amalan dan pengebilan untuk hospital, pejabat doktor dan amalan perubatan lain. Peranan sebagai penyedia teknologi atau rakan niaga perkhidmatan kesihatan memberikan syarikat itu akses kepada data sebilangan besar pesakit. 2

Bila skala sebenar diketahui?

Pada awal Ogos, pendedahan berkaitan serangan AWS menyatakan kira-kira 345,000 individu terjejas. Angka dalam portal kerajaan Amerika Syarikat kemudiannya meningkat kepada 3,756,469 individu apabila CareCloud menyerahkan maklumat terkini kepada Jabatan Kesihatan dan Perkhidmatan Manusia Amerika Syarikat (HHS) pada Ogos. Jumlah itu masih boleh berubah sekiranya siasatan mengenal pasti rekod atau individu tambahan. 12

HHS melalui Office for Civil Rights (OCR) mengendalikan portal awam yang menyenaraikan kebocoran maklumat kesihatan terlindung yang melibatkan sekurang-kurangnya 500 individu dan masih dalam siasatan. Rekod CareCloud dalam portal itu dikategorikan sebagai insiden penggodaman atau teknologi maklumat yang melibatkan pelayan rangkaian. 1

Apa yang masih belum dijelaskan?

CareCloud belum memberikan penjelasan awam yang lebih lengkap sejak pendedahan awal pada Mac. Antara persoalan yang masih belum terjawab ialah:

• bagaimana penyerang mendapat akses kepada persekitaran AWS;
• sama ada wang tebusan telah dibayar;
• pihak atau pasukan yang bertanggungjawab terhadap keselamatan siber; dan
• sama ada Ketua Pegawai Eksekutif Stephen Snyder akan meletakkan jawatan. 2

Setakat pendedahan awam yang tersedia, tiada bukti yang disahkan bahawa wang tebusan telah dibayar. Tiada kumpulan penggodam tertentu juga dilaporkan mengaku bertanggungjawab, dan tiada pengesahan mengenai kesalahan pihak pengurusan atau rancangan peletakan jawatan Snyder. 2

Kedudukan berbanding kebocoran kesihatan lain pada 2026

Dengan 3,756,469 individu terjejas, insiden CareCloud lebih besar daripada kebocoran TriZetto Provider Solutions yang melibatkan 3,433,965 orang. 1310

DentaQuest pula melaporkan 15 juta individu terjejas, menjadikannya antara insiden terbesar dalam sektor penjagaan kesihatan yang dilaporkan kepada HHS pada 2026. 13 Craneware, penyedia perisian pengebilan, turut melaporkan serangan pada tahun ini, tetapi jumlah akhir individu terjejas belum tersedia dalam laporan yang dirujuk. Oleh itu, kedudukan Craneware tidak boleh dibandingkan secara terus dengan CareCloud berdasarkan jumlah mangsa. 3

Kedudukan CareCloud sebagai insiden kelima terbesar merujuk kepada laporan yang diketahui ketika pendedahan dibuat dan boleh berubah jika angka bagi kes lain dikemas kini.