CareCloud-läckan drabbar 3,75 miljoner människor – detta vet vi

Omfattningen blev betydligt större än först känt

CareCloud har rapporterat att hackare stal person- och sjukvårdsuppgifter om 3 756 469 människor. Det gör incidenten till den femte största rapporterade stölden av vårddata i USA under 2026 hittills. Den slutliga siffran var mer än tio gånger högre än de cirka 345 000 personer som först hade informerats. 2

Uppgiften blev offentlig efter att CareCloud rapporterat incidenten till USA:s hälsodepartement, Department of Health and Human Services (HHS). HHS:s Office for Civil Rights publicerar större HIPAA-relaterade dataintrång i ett offentligt register som omfattar incidenter under utredning. 1

Hackarna hade åtkomst i sex dagar

CareCloud upptäckte en nätverksstörning i mars 2026. Företaget uppgav då att störningen varade i omkring åtta timmar och påverkade åtkomsten till ett av systemen med elektroniska patientjournaler.

En efterföljande utredning visade att en obehörig aktör hade tagit sig in i en av CareClouds molnlagringsmiljöer mellan den 10 och 16 mars – alltså under sex dagar – och fört ut data från företagets konto hos Amazon Web Services (AWS). 2

Det finns fortfarande ingen offentlig detaljerad redogörelse för hur angriparna ursprungligen fick åtkomst till AWS-miljön. CareCloud har inte heller redovisat hela händelseförloppet efter det första avslöjandet i mars.

Vilka uppgifter stals?

Enligt rapporteringen innehöll det stulna materialet flera typer av särskilt känsliga uppgifter:

• namn och postadresser
• amerikanska Social Security-nummer, som bland annat används som identitets- och skatteidentifierare
• medicinska journaler och annan hälsoinformation
• uppgifter om sjukförsäkring
• myndighetsutfärdade identitetshandlingar, däribland pass- och körkortsnummer
• födelsedatum
• bankuppgifter och annan finansiell information för vissa personer 2

Kombinationen av medicinska uppgifter, identitetsuppgifter och ekonomisk information kan göra konsekvenserna särskilt allvarliga för de drabbade. Det är dock inte offentligt känt exakt vilka uppgifter som hör till varje enskild person.

Varför hade CareCloud tillgång till så många journaler?

CareCloud är ett vårdteknikföretag baserat i New Jersey. Bolaget tillhandahåller bland annat elektroniska patientjournaler, system för mottagningsadministration och tjänster för fakturering och annan ekonomisk hantering åt sjukhus, läkarmottagningar och andra vårdverksamheter. 2

Det innebär att CareCloud fungerar som en teknisk leverantör och databehandlare åt många vårdaktörer. Även om patienterna inte nödvändigtvis har en direkt relation till CareCloud kan företagets system därför innehålla information om miljontals människor.

Många frågor är fortfarande obesvarade

CareCloud har inte offentligt lämnat någon mer fullständig redogörelse sedan den första informationen om incidenten i mars. Företagets vd Stephen Snyder ska inte ha besvarat frågor om:

• huruvida någon lösensumma betalades
• vem som hade det övergripande cybersäkerhetsansvaret
• om det finns planer på att han ska lämna vd-posten 2

Det finns därmed ingen bekräftad offentlig uppgift om att en lösensumma har betalats. Det finns inte heller någon fastställd koppling till en viss hackergrupp, något offentligt fastställt personligt ansvar för företagets ledning eller någon bekräftad plan på att Snyder ska avgå. 2

Hur står sig CareCloud jämfört med andra vårdläckor?

Vid tidpunkten för rapporteringen var CareCloud den femte största rapporterade vårdrelaterade datastölden i USA under 2026. Incidenten omfattar fler personer än den som TriZetto Provider Solutions rapporterade, där 3 433 965 personer uppgavs vara berörda. 13

DentaQuest har rapporterat den största jämförbara incidenten, med 15 miljoner berörda personer enligt HHS-registret. Craneware hör också till årets större incidenter inom vårdsektorn, men den tillgängliga rapporteringen anger inget slutligt antal drabbade som kan jämföras direkt med CareCloud. Därför går det inte att placera Craneware exakt i rankningen utifrån de nu tillgängliga uppgifterna. 3

CareClouds fall visar samtidigt hur den rapporterade omfattningen av ett dataintrång kan förändras kraftigt när den rättsmedicinska utredningen blir klar. Den första uppskattningen på omkring 345 000 personer ersattes av en siffra på över 3,75 miljoner – och HHS-registret anger att uppgifterna fortfarande kan komma att ändras.