CareCloud-datalek blijkt veel groter dan aanvankelijk gemeld

Het CareCloud-datalek is uitgegroeid tot een van de grootste zorgcyberincidenten van 2026 in de Verenigde Staten. Volgens de melding aan federale toezichthouders zijn de persoonlijke en medische gegevens van 3.756.469 mensen gestolen. Dat aantal ligt ruim tien keer hoger dan de ongeveer 345.000 mensen die aanvankelijk werden geïnformeerd. 2

Wat gebeurde er?

CareCloud zei eerder in maart dat het te maken had gehad met een netwerkverstoring. Uit het daaropvolgende forensische onderzoek bleek dat een onbevoegde partij gedurende zes dagen toegang had tot een van de cloudopslagomgevingen van het bedrijf. De aanvallers haalden vervolgens gegevens uit CareClouds account bij Amazon Web Services (AWS), de clouddienst waarop de omgeving draaide. 2

De inbraak vond plaats in maart 2026; de beschikbare meldingen plaatsen de toegang tussen 10 en 16 maart. De aanvankelijke berichtgeving ging uit van ongeveer 345.000 betrokken personen. In augustus werd de veel grotere uiteindelijke omvang gemeld aan het Amerikaanse ministerie van Volksgezondheid en Sociale Zaken (HHS). Het aantal kan tijdens het onderzoek nog veranderen. 12

Welke gegevens zijn gestolen?

De gestolen informatie bestond volgens de melding uit verschillende soorten gevoelige gegevens, waaronder:

• namen en postadressen;
• Amerikaanse Social Security-nummers, die onder meer voor identificatie en belastingzaken worden gebruikt;
• medische en andere gezondheidsinformatie;
• gegevens uit overheidsidentiteitsbewijzen, zoals paspoort- en rijbewijsnummers;
• voor sommige betrokkenen bankgegevens en andere financiële informatie. 2

De combinatie van medische, identiteits- en financiële gegevens kan bijzonder gevoelig zijn. Toch is er op basis van de aangehaalde berichtgeving geen reden om aan te nemen dat elk type gegeven bij iedere betrokkene is buitgemaakt.

Wat doet CareCloud precies?

CareCloud is een in New Jersey gevestigd technologiebedrijf voor de zorg. Het levert onder meer systemen voor elektronische medische dossiers en praktijkbeheer, en verwerkt gegevens voor facturering en andere administratieve processen. Ziekenhuizen, artsenpraktijken en andere zorgorganisaties gebruiken de diensten van het bedrijf. Daardoor kan CareCloud toegang hebben tot gegevens van miljoenen patiënten. 2

Wat heeft de Amerikaanse overheid gemeld?

CareCloud diende de datalekmelding in bij het Office for Civil Rights (OCR) van HHS. Die instantie houdt een openbaar register bij van grote HIPAA-datalekken — incidenten waarbij onbeschermde gezondheidsinformatie van 500 of meer mensen mogelijk is buitgemaakt. De HHS-portal vermeldt CareCloud als een zakelijke dienstverlener in New Jersey en classificeert het incident als een hacking- of IT-incident. 1

De melding bij HHS maakte in augustus voor het eerst publiekelijk duidelijk dat het om meer dan 3,75 miljoen mensen ging. 2

Welke vragen zijn nog onbeantwoord?

CareCloud heeft sinds de eerste bekendmaking in maart geen uitgebreide publieke toelichting gegeven. Volgens de beschikbare berichtgeving reageerde topman Stephen Snyder niet op vragen over:

• de vraag of er losgeld is betaald;
• wie binnen of rond het bedrijf verantwoordelijk was voor de cybersecurity;
• een mogelijk vertrek van de CEO.

Er is daarom geen bevestigde publieke informatie over een losgeldbetaling, de identiteit van een specifieke hackgroep, persoonlijke schuld van het management of een gepland vertrek van Snyder. 2

Hoe groot is het lek in vergelijking met andere incidenten?

Op het moment van de bekendmaking stond CareCloud op de vijfde plaats van de grootste gemelde diefstallen van zorggegevens in de VS in 2026. Het incident is groter dan de melding van TriZetto Provider Solutions, waarbij 3.433.965 mensen werden genoemd. DentaQuest meldde met 15 miljoen betrokken mensen een veel grotere omvang. 13

Ook factureringssoftwarebedrijf Craneware meldde in 2026 een incident waarbij gegevens van klanten uit de zorgsector waren gestolen. Voor Craneware was in de beschikbare berichtgeving echter nog geen definitief, rechtstreeks vergelijkbaar aantal betrokken personen vastgesteld. Daarom kan het bedrijf niet betrouwbaar in dezelfde ranglijst als CareCloud worden geplaatst. 3