CareCloud-lekkasje rammet over 3,75 millioner pasienter

Omfanget ble kraftig oppjustert

CareCloud har meldt til amerikanske føderale myndigheter at hackere stjal personopplysninger og medisinske journaler tilhørende 3 756 469 personer. Det gjør hendelsen til det femte største rapporterte datatyveriet i den amerikanske helsesektoren så langt i 2026. 2

Tallet er langt høyere enn de rundt 345 000 personene som først ble varslet. CareCloud oppdaget og offentliggjorde et nettverksproblem i mars, men det fulle omfanget ble først synlig da selskapet rapporterte saken til det amerikanske helse- og omsorgsdepartementet (HHS) i august. Antallet kan fortsatt bli endret. 2

Dette skal ha skjedd

Ifølge opplysningene i rapporteringen fikk en uvedkommende tilgang til ett av CareClouds skylagringsmiljøer i Amazon Web Services (AWS) i en periode på seks dager i mars 2026. Angriperne skal deretter ha hentet ut data fra selskapets AWS-konto. 2

CareCloud hadde tidligere opplyst at hendelsen førte til et nettverksavbrudd. Den første meldingen ga imidlertid ikke et fullstendig bilde av hvor mye informasjon som var tilgjengelig for angriperne eller hvor mange personer som var berørt.

Hvilke opplysninger kan være stjålet?

Materialet som ble hentet ut, skal blant annet omfatte:

• navn og postadresser
• amerikanske personnumre, kjent som Social Security numbers
• medisinske journaler og andre helseopplysninger
• opplysninger fra offentlige ID-dokumenter, blant annet pass- og førerkortnumre
• bankopplysninger og annen økonomisk informasjon for enkelte personer 2

Kombinasjonen av helseopplysninger og identitets- og økonomiske data kan gjøre slike lekkasjer særlig alvorlige. Kildene beskriver likevel ikke at alle de nevnte opplysningstypene var knyttet til hver eneste berørte person.

Hvorfor hadde CareCloud tilgang til så mange journaler?

CareCloud er et helseteknologiselskap basert i New Jersey. Selskapet leverer blant annet systemer for elektroniske pasientjournaler, praksisadministrasjon og fakturering til sykehus, legekontorer og andre helsetjenester. 2

Som leverandør og såkalt forretningspartner for helsevirksomheter kan CareCloud lagre og behandle store mengder pasient- og praksisdata. Det er denne rollen som forklarer hvorfor ett enkelt innbrudd kunne berøre millioner av mennesker.

Saken er meldt til amerikanske helsemyndigheter

CareCloud har rapportert lekkasjen til Office for Civil Rights (OCR), en del av HHS. OCRs offentlige portal viser større HIPAA-relaterte datainnbrudd som er under etterforskning. HIPAA er det amerikanske regelverket som blant annet regulerer personvern og sikkerhet for beskyttede helseopplysninger. 1

HHS-portalen oppgir 3 756 469 berørte personer i CareCloud-saken. Det var denne registreringen som offentlig bekreftet at hendelsen var langt større enn de første varslene tydet på. 12

Flere spørsmål er fortsatt ubesvart

CareCloud har ikke offentlig gitt en mer detaljert redegjørelse siden den første meldingen i mars. Det er derfor fortsatt uklart:

• hvordan angriperne fikk tilgang til AWS-miljøet
• om det ble betalt løsepenger
• hvem som hadde det overordnede ansvaret for cybersikkerheten
• om en bestemt hackergruppe sto bak angrepet
• om konsernsjef Stephen Snyder planlegger å gå av 2

Snyder skal ikke ha svart på spørsmål om disse temaene. Det finnes dermed ingen offentlig bekreftet dokumentasjon på at løsepenger ble betalt, hvem som sto bak angrepet, at ledelsen har fått fastslått ansvar, eller at Snyder skal fratre. 2

Hvordan står lekkasjen seg mot andre helseangrep i 2026?

På tidspunktet da omfanget ble kjent, ble CareCloud-saken rangert som det femte største rapporterte datatyveriet i den amerikanske helsesektoren i 2026. Den er større enn hendelsen hos TriZetto Provider Solutions, som er rapportert å ha berørt 3 433 965 personer. 13

DentaQuest har på sin side meldt om 15 millioner berørte personer, noe som plasserer denne saken betydelig høyere. Craneware var også involvert i en større helse-relatert datalekkasje i løpet av året, men det tilgjengelige materialet oppgir ikke et endelig og sammenlignbart antall berørte personer. Derfor kan Craneware ikke rangeres direkte mot CareCloud på et sikkert grunnlag. 3