CareCloud veri ihlalinde etkilenen kişi sayısı 3,75 milyona çıktı

CareCloud veri ihlalinde ne oldu?

New Jersey merkezli sağlık teknolojisi şirketi CareCloud, bilgisayar korsanlarının 3.756.469 kişiye ait kişisel ve tıbbi kayıtları çaldığını ABD Sağlık ve İnsan Hizmetleri Bakanlığı'na (HHS) bildirdi. Bu rakam, şirketin daha önce bildirim gönderdiği yaklaşık 345.000 kişilik tahminin on katından fazla. 2

Şirket, olayın ilk işaretlerini Mart 2026'da yaşanan bir ağ kesintisi sırasında tespit etti. Daha sonra yapılan incelemeye göre yetkisiz kişiler, CareCloud'un Amazon Web Services (AWS) hesabındaki bulut depolama ortamlarından birine 10-16 Mart tarihleri arasında, yaklaşık altı gün boyunca erişti ve buradaki verileri dışarı aktardı. 2

CareCloud ilk açıklamasında ağ erişiminin yaklaşık sekiz saat kesildiğini belirtmişti. Ancak ihlalin gerçek kapsamı, HHS'nin Sivil Haklar Ofisi'ne (OCR) yapılan bildirimle ağustos ayında kamuoyuna yansıdı. Etkilenen kişi sayısı soruşturma sürdükçe değişebilir. 12

Hangi bilgiler çalındı?

HHS'ye yapılan bildirim ve mevcut raporlara göre saldırganların eriştiği bilgiler şunları içeriyor:

• Ad ve posta adresi
• Sosyal Güvenlik numarası
• Tıbbi ve sağlık bilgileri
• Pasaport ve sürücü belgesi numaraları gibi resmi kimlik bilgileri
• Bazı kişiler için banka bilgileri ve diğer finansal veriler 2

Bu veri türleri, sağlık mahremiyetinin ihlal edilmesinin yanı sıra kimlik hırsızlığı ve finansal dolandırıcılık riskleri de yaratabilir. Ancak mevcut kaynaklar, bu bilgilerin nasıl kullanıldığına ilişkin doğrulanmış bir bulgu sunmuyor.

CareCloud neden bu kadar geniş veriye erişebiliyordu?

CareCloud, hastaneler, doktor muayenehaneleri ve diğer sağlık kuruluşları için elektronik sağlık kayıtları, muayenehane yönetimi ve faturalandırma altyapısı sağlayan bir sağlık teknolojisi şirketi. Bu nedenle şirketin sistemlerinde yalnızca kendi çalışanlarına ait bilgiler değil, hizmet verdiği sağlık kuruluşları üzerinden milyonlarca hastaya ilişkin kayıtlar da bulunabiliyor. 2

Şirket ve yetkililer ne açıkladı?

CareCloud, ihlali HHS'nin Sivil Haklar Ofisi'ne bildirdi. OCR'nin kamuya açık ihlal portalı, 500 veya daha fazla kişinin korunan sağlık bilgilerinin etkilendiği ve inceleme altındaki vakaları listeliyor. 1

Bununla birlikte şirket, mart ayındaki ilk açıklamasından sonra saldırının ayrıntıları hakkında kamuoyuna kapsamlı bir açıklama yapmadı. CEO Stephen Snyder'ın fidye ödenip ödenmediği, siber güvenlikten kimin sorumlu olduğu veya görevinden ayrılmayı planlayıp planlamadığı yönündeki sorulara yanıt vermediği bildirildi. 2

Bu nedenle şu aşamada doğrulanmış bir fidye ödemesi, belirli bir siber suç grubuna yönelik kesin bir atıf, yönetimin sorumluluğuna ilişkin resmi bir bulgu ya da CEO'nun ayrılacağına dair kamuya açık bir plan bulunmuyor. 2

2026'daki diğer sağlık veri ihlalleriyle karşılaştırıldığında

CareCloud vakası, açıklamanın yapıldığı tarihte 2026'da ABD'de bildirilen sağlık verisi hırsızlıkları arasında beşinci en büyük olay olarak değerlendiriliyor. 3.756.469 kişilik sayı, TriZetto Provider Solutions'ın 3.433.965 kişiyi etkileyen ihlalini aşıyor. 13

DentaQuest'in HHS kaydında ise 15 milyon kişinin etkilendiği belirtiliyor. Faturalandırma yazılımı sağlayıcısı Craneware de 2026'da önemli bir sağlık sektörü ihlali bildirdi; ancak mevcut raporlarda etkilenen kişi sayısı CareCloud ile doğrudan karşılaştırılabilecek şekilde kesinleştirilmedi. Bu nedenle Craneware'i CareCloud'a karşı kesin bir sıralamaya koymak mümkün değil. 3

CareCloud olayı, sağlık hizmeti sağlayıcılarına ve kuruluşlarına altyapı sunan teknoloji şirketlerinin tek bir ihlal üzerinden çok geniş miktarda hassas hasta verisine erişilebilmesinin yarattığı riski bir kez daha ortaya koyuyor. Ancak saldırının nasıl başladığı, verilerin kim tarafından ele geçirildiği ve fidye pazarlığı yapılıp yapılmadığı gibi kritik ayrıntılar henüz açıklığa kavuşmuş değil. 2