Vụ rò rỉ dữ liệu CareCloud ảnh hưởng hơn 3,75 triệu người: Những gì đã biết

Quy mô vụ việc tăng gấp nhiều lần ước tính ban đầu

CareCloud, công ty công nghệ y tế có trụ sở tại bang New Jersey, Mỹ, xác nhận tin tặc đã lấy cắp thông tin cá nhân và hồ sơ y tế của 3.756.469 người. Con số này cao hơn nhiều so với khoảng 345.000 người được xác định trong các thông báo ban đầu. 2

Số liệu mới được CareCloud báo cáo lên Bộ Y tế và Dịch vụ Nhân sinh Mỹ (HHS) trong tháng 8/2026. Tuy nhiên, tổng số người bị ảnh hưởng vẫn có thể được điều chỉnh khi quá trình điều tra tiếp tục. 2

Tin tặc đã truy cập hệ thống AWS trong sáu ngày

Theo thông tin được công bố, vụ việc bắt nguồn từ một sự cố mạng xảy ra vào tháng 3/2026. Kẻ tấn công đã truy cập một trong các môi trường lưu trữ đám mây của CareCloud trong khoảng sáu ngày, sau đó trích xuất dữ liệu từ tài khoản Amazon Web Services (AWS) của công ty. 2

CareCloud từng cho biết sự cố đã gây gián đoạn mạng trong tháng 3. Dù vậy, những thông tin công khai sau đó vẫn chưa giải thích đầy đủ cách tin tặc xâm nhập, cơ chế bảo vệ nào đã bị vượt qua hay chính xác lượng dữ liệu bị lấy đi trong từng giai đoạn.

Những loại thông tin nào bị đánh cắp?

Dữ liệu bị ảnh hưởng bao gồm nhiều nhóm thông tin nhạy cảm:

• Họ tên và địa chỉ bưu chính;
• Số An sinh xã hội Mỹ (Social Security number), một mã định danh quan trọng thường được sử dụng trong các giao dịch việc làm, thuế và tài chính tại Mỹ;
• Thông tin y tế và hồ sơ chăm sóc sức khỏe;
• Dữ liệu giấy tờ tùy thân của chính phủ, gồm số hộ chiếu và số bằng lái xe;
• Thông tin ngân hàng và các dữ liệu tài chính khác trong một số trường hợp. 2

Việc một vụ việc đồng thời liên quan đến hồ sơ y tế, mã định danh cá nhân và dữ liệu tài chính khiến mức độ nhạy cảm của sự cố đặc biệt cao. Tuy nhiên, các nguồn được cung cấp chưa cho biết chi tiết từng loại dữ liệu gắn với bao nhiêu người.

CareCloud là đơn vị nào trong chuỗi chăm sóc sức khỏe?

CareCloud cung cấp công nghệ phục vụ ngành y tế, trong đó có hệ thống lưu trữ hồ sơ bệnh án điện tử và dữ liệu thanh toán, quản lý phòng khám. Khách hàng của công ty gồm bệnh viện, phòng khám bác sĩ và các cơ sở chăm sóc sức khỏe khác. 2

Với vai trò là nhà cung cấp công nghệ và đối tác xử lý dữ liệu, CareCloud có thể lưu trữ hoặc quản lý thông tin của bệnh nhân từ nhiều cơ sở y tế. Đây là lý do một sự cố tại một nhà cung cấp dịch vụ có thể ảnh hưởng đến hàng triệu người, dù họ không trực tiếp sử dụng sản phẩm của CareCloud.

HHS đã ghi nhận vụ việc ra sao?

CareCloud đã nộp báo cáo lên Văn phòng Quyền Dân sự (OCR) thuộc HHS. Cổng thông tin công khai của OCR liệt kê các vụ rò rỉ thông tin y tế được bảo vệ, ảnh hưởng từ 500 người trở lên và đang nằm trong diện điều tra. 1

Hồ sơ được cập nhật trong tháng 8 đã xác lập quy mô hơn 3,75 triệu người của vụ CareCloud trên dữ liệu công khai của HHS. 2

Những câu hỏi vẫn chưa có lời giải

Sau thông báo ban đầu hồi tháng 3, CareCloud chưa công khai thêm một bản tường trình đầy đủ về vụ tấn công. CEO Stephen Snyder được cho là cũng chưa trả lời các câu hỏi liên quan đến:

• Công ty có trả tiền chuộc hay không;
• Bộ phận hoặc cá nhân nào chịu trách nhiệm về an ninh mạng;
• Ông Snyder có dự định từ chức hay không.

Vì vậy, hiện chưa có bằng chứng công khai được xác nhận về việc CareCloud đã trả tiền chuộc, danh tính nhóm tin tặc, trách nhiệm cụ thể của ban lãnh đạo hay kế hoạch CEO rời chức vụ. 2

Vụ CareCloud đứng ở đâu so với các sự cố khác trong năm 2026?

Tại thời điểm công bố, CareCloud được xếp là vụ đánh cắp dữ liệu y tế lớn thứ năm được báo cáo tại Mỹ trong năm 2026. Quy mô vụ việc lớn hơn sự cố của TriZetto Provider Solutions, vốn ảnh hưởng đến 3.433.965 người. Trong khi đó, hồ sơ của HHS cho thấy DentaQuest báo cáo 15 triệu người bị ảnh hưởng. 13

Craneware cũng là một trong những vụ việc đáng chú ý của ngành y tế trong năm nay. Tuy nhiên, các thông tin hiện có chưa đưa ra con số nạn nhân cuối cùng đủ tương đương để xếp hạng trực tiếp Craneware với CareCloud. 3