Утечка CareCloud затронула 3,75 млн пациентов: какие данные украли и что пока неизвестно

Масштаб инцидента оказался в десять раз больше первоначальной оценки

Компания CareCloud подтвердила федеральным регуляторам, что в результате кибератаки были похищены персональные и медицинские записи 3 756 469 человек. Таким образом, инцидент стал пятой по масштабу зарегистрированной в США утечкой медицинских данных за 2026 год на момент публикации данных.

Первоначально CareCloud уведомляла примерно 345 тысяч человек. Позднее число пострадавших существенно выросло после подачи обновлённой информации в Министерство здравоохранения и социальных служб США. Итоговая цифра ещё может измениться по мере расследования. 2

Как произошла атака

Речь идёт об инциденте, который компания обнаружила в марте 2026 года. По данным CareCloud, злоумышленники получили доступ к одной из облачных сред хранения данных и находились там в течение шести дней, после чего вывезли информацию из инфраструктуры компании в Amazon Web Services (AWS) — облачной платформе Amazon. 2

В марте CareCloud уже сообщала о нарушении работы сети. Тогда сбой продолжался около восьми часов и затронул доступ к одной из баз данных. Однако полный масштаб компрометации стал публично известен только после августовского уведомления в HHS. 2

Какие сведения могли попасть к злоумышленникам

Согласно раскрытой информации, среди похищенных данных были:

• имена и почтовые адреса;
• номера социального страхования;
• медицинская и другая информация о здоровье;
• данные удостоверений личности, включая номера паспортов и водительских удостоверений;
• банковская и иная финансовая информация — у части пострадавших. 2

Такое сочетание медицинских, идентификационных и финансовых сведений может создавать риски не только для конфиденциальности, но и для мошенничества с персональными данными. При этом публичные материалы не уточняют, какие именно категории информации относились к каждому конкретному человеку.

Почему у CareCloud был доступ к данным миллионов пациентов

CareCloud — базирующаяся в штате Нью-Джерси американская технологическая компания в сфере здравоохранения. Она предоставляет электронные медицинские карты, инструменты управления медицинскими практиками и сервисы для работы с биллинговыми данными больниц, врачебных кабинетов и других медицинских организаций.

Поэтому компания выступает не только как поставщик программного обеспечения: её системы обрабатывают и хранят большие объёмы сведений о пациентах и медицинских операциях.

Что сообщила компания регуляторам

Уведомление было подано в Управление по гражданским правам HHS. Это ведомство публикует сведения о крупных утечках защищённой медицинской информации, затрагивающих не менее 500 человек, и расследует такие инциденты в рамках требований американского закона HIPAA. 1

Именно запись в публичном реестре HHS зафиксировала масштаб утечки CareCloud — 3 756 469 затронутых лиц. 12

Какие вопросы остаются без ответа

После первоначального мартовского раскрытия CareCloud не опубликовала подробного отчёта о взломе. В открытых источниках нет подтверждения того, кто именно получил доступ к AWS-среде, каким способом были украдены записи и стояла ли за атакой конкретная хакерская группировка.

Генеральный директор CareCloud Стивен Снайдер, как сообщалось, не ответил на вопросы о возможной выплате выкупа, распределении ответственности за кибербезопасность и вероятности его отставки. Поэтому на данный момент нет подтверждённых публичных данных о выплате выкупа, виновности руководства или планируемом уходе Снайдера. 2

Место среди крупнейших утечек медицинских данных 2026 года

На момент раскрытия CareCloud занимала пятое место среди крупнейших зарегистрированных утечек медицинских данных в США в 2026 году. Инцидент оказался крупнее утечки TriZetto Provider Solutions, затронувшей 3 433 965 человек. 13

Крупнейшей в доступных данных значится утечка у DentaQuest: в уведомлении HHS указано 15 млн пострадавших. Craneware также сообщала о крупном инциденте в медицинском технологическом секторе, однако сопоставимая итоговая численность затронутых людей публично не установлена. Поэтому корректно не включать Craneware в точное ранжирование рядом с CareCloud. 13