Злам CareCloud: дані понад 3,75 мільйона пацієнтів викрали з хмари AWS

Масштаб витоку виявився удесятеро більшим

CareCloud підтвердила американським федеральним регуляторам, що внаслідок кібератаки були викрадені персональні та медичні записи 3 756 469 людей. Це значно більше за приблизно 345 тисяч осіб, яких компанія спочатку вказувала у повідомленнях про інцидент. 2

За масштабом CareCloud стала п'ятим найбільшим зареєстрованим витоком медичних даних у США у 2026 році на момент розкриття інформації. Остаточна кількість постраждалих ще може змінитися.

Коли і як стався злам

Інцидент стався у березні 2026 року. Хакери отримали доступ до одного з хмарних середовищ CareCloud і протягом шести днів копіювали дані з облікового запису компанії в Amazon Web Services (AWS) — хмарній платформі, де зберігалися електронні медичні записи.

У березні CareCloud повідомила про перебої в роботі мережі, які тривали близько восьми годин. Однак справжній масштаб викрадення став зрозумілим лише після подальшого розслідування та подання оновлених даних до Міністерства охорони здоров'я і соціальних служб США (HHS). 2

Які дані могли викрасти

До скомпрометованої інформації належали:

• імена та поштові адреси;
• номери соціального страхування США;
• медичні та інші відомості про стан здоров'я;
• дані державних документів, зокрема номерів паспортів і водійських посвідчень;
• у деяких випадках — банківські та інші фінансові дані. 2

Поєднання медичної інформації з ідентифікаційними та фінансовими даними створює ризики не лише для приватності, а й для крадіжки особи та фінансового шахрайства.

Чим займається CareCloud

CareCloud — технологічна компанія з американського штату Нью-Джерсі. Вона надає медичним закладам програмне забезпечення для зберігання електронних медичних карток, управління практикою та обробки платіжних і розрахункових даних.

Серед її клієнтів — лікарні, лікарські кабінети та інші медичні практики. Тому компанія має доступ до інформації про мільйони пацієнтів, навіть якщо ці люди безпосередньо не користуються сервісами CareCloud. 2

Що повідомила компанія американським регуляторам

CareCloud подала повідомлення про витік до Управління з громадянських прав HHS (Office for Civil Rights, OCR). На його публічному порталі перелічені масштабні інциденти з медичними даними, які наразі розслідуються. 1

Саме серпневе подання до HHS зафіксувало публічно підтверджену цифру у 3 756 469 постраждалих. 2

Які питання залишаються без відповіді

Після початкового розкриття інциденту в березні CareCloud не оприлюднила детального публічного пояснення. Генеральний директор компанії Стівен Снайдер, за повідомленнями, не відповів на запитання про те:

• чи сплачувала CareCloud викуп;
• хто саме відповідав за кібербезпеку;
• чи планує він піти у відставку.

Наразі немає підтверджених публічних даних про виплату викупу, причетність конкретного хакерського угруповання, персональну відповідальність керівництва або запланований відхід Снайдера з посади. 2

Як CareCloud виглядає на тлі інших атак 2026 року

На момент оприлюднення оновлених даних інцидент CareCloud посідав п'яте місце серед зареєстрованих у 2026 році крадіжок медичних даних у США. Він перевищив за масштабом витік у TriZetto Provider Solutions, де постраждали 3 433 965 людей. 13

Найбільшим у наведеному порівнянні був інцидент DentaQuest: у звіті HHS зазначено 15 мільйонів постраждалих. 13 Craneware також повідомляла про значну атаку у сфері медичних платіжних технологій, але остаточну кількість постраждалих у доступних даних не встановлено. Тому коректно не ставити цей інцидент у точний рейтинг поруч із CareCloud. 3