Afera CareCloud: dane medyczne 3,75 mln osób wykradzione z chmury AWS

Co wydarzyło się w CareCloud?

CareCloud potwierdził, że cyberprzestępcy wykradli dane osobowe i medyczne 3 756 469 osób. To ponad dziesięciokrotnie więcej niż około 345 tys. osób, które początkowo uznano za poszkodowane. Ostateczna liczba została ujawniona w zgłoszeniu do amerykańskiego Departamentu Zdrowia i Opieki Społecznej (HHS) w sierpniu 2026 roku i może jeszcze ulec zmianie. 2

Do incydentu doszło w marcu. Według dostępnych informacji napastnicy uzyskali dostęp do jednego ze środowisk przechowywania danych CareCloud i pozostawali w nim przez sześć dni, kopiując informacje z firmowego konta w chmurze Amazon Web Services (AWS). Firma wcześniej informowała o zakłóceniu działania sieci, które trwało około ośmiu godzin. Pełna skala naruszenia została ustalona dopiero po późniejszym dochodzeniu. 2

Jakie dane mogły zostać wykradzione?

Zakres informacji obejmował dane, które mogą mieć poważne konsekwencje zarówno dla prywatności, jak i bezpieczeństwa finansowego poszkodowanych. Wśród nich znalazły się:

• imiona i nazwiska oraz adresy pocztowe,
• numery Social Security, czyli amerykańskiego odpowiednika numeru identyfikacyjnego używanego m.in. w sprawach podatkowych i ubezpieczeniowych,
• dokumentacja oraz informacje medyczne,
• dane z dokumentów tożsamości, w tym numery paszportów i praw jazdy,
• informacje o ubezpieczeniu zdrowotnym,
• a w przypadku części osób także dane bankowe i inne informacje finansowe. 2

Nie oznacza to, że każdy poszkodowany miał w bazie dokładnie ten sam zestaw informacji. Zgłoszenia wskazują, że zakres wykradzionych danych różnił się zależnie od osoby.

Czym zajmuje się CareCloud?

CareCloud to firma technologiczna z siedzibą w New Jersey. Dostarcza placówkom ochrony zdrowia narzędzia do prowadzenia elektronicznej dokumentacji medycznej, zarządzania praktyką oraz obsługi danych związanych z rozliczeniami.

Jej klientami są m.in. szpitale, gabinety lekarskie i inne praktyki medyczne. Taka rola — określana w amerykańskich przepisach jako dostawca usług lub „business associate” — oznacza, że firma może przechowywać i przetwarzać informacje dotyczące pacjentów obsługiwanych przez wiele niezależnych placówek. 12

Co zgłoszono amerykańskim władzom?

CareCloud zgłosił naruszenie do Biura Praw Obywatelskich HHS (Office for Civil Rights, OCR). Publiczny portal OCR gromadzi informacje o naruszeniach niezabezpieczonych danych zdrowotnych dotyczących co najmniej 500 osób i pokazuje sprawy będące przedmiotem postępowania wyjaśniającego. 1

To właśnie wpis w federalnym rejestrze pozwolił ustalić, że skala incydentu wynosi 3 756 469 osób, a nie około 345 tys., jak wynikało z wcześniejszych zawiadomień. 12

Wciąż brakuje odpowiedzi na kluczowe pytania

CareCloud nie przedstawił publicznie pełniejszego opisu ataku od czasu pierwszego ujawnienia incydentu w marcu. Nie wiadomo m.in.:

• w jaki sposób napastnicy uzyskali dostęp do środowiska AWS,
• czy firma zapłaciła okup,
• kto dokładnie odpowiadał za bezpieczeństwo cybernetyczne,
• czy za atakiem stała konkretna grupa przestępcza,
• czy prezes Stephen Snyder zamierza odejść ze stanowiska.

Według dostępnych relacji Snyder nie odpowiedział na pytania dotyczące tych kwestii. Nie ma więc potwierdzonych publicznie dowodów na wypłatę okupu, przypisanie ataku konkretnej grupie, odpowiedzialność kierownictwa ani planowaną rezygnację prezesa. 2

Jak duży jest to wyciek na tle innych incydentów?

W chwili ujawnienia pełnej liczby ofiar incydent CareCloud zajmował piąte miejsce wśród zgłoszonych w 2026 roku kradzieży danych z sektora ochrony zdrowia w USA. Był większy niż naruszenie dotyczące 3 433 965 osób w TriZetto Provider Solutions. 13

Jeszcze większy incydent zgłosiła DentaQuest — w jej wpisie w systemie HHS widnieje 15 mln osób dotkniętych naruszeniem. W 2026 roku doszło także do głośnego ataku na firmę Craneware, jednak dostępne informacje nie podają porównywalnej, ostatecznej liczby poszkodowanych. Z tego powodu nie można rzetelnie ustalić jej pozycji względem CareCloud. 13

Najważniejsza informacja jest jednak prostsza: przypadek CareCloud pokazuje, jak bardzo początkowe szacunki dotyczące wycieku danych medycznych mogą różnić się od wyników późniejszego dochodzenia.