CareCloud數據外洩擴至375萬人：目前已知資料、時間線及影響

CareCloud這宗數據外洩案，最令人震驚的不只是醫療紀錄被盜，而是受影響人數由最初公布的約34.5萬人，突然增至3,756,469人。按目前公開報告計算，事件已成為2026年美國第五大醫療數據外洩案。2

事件發生過程

CareCloud表示，未經授權人士在2026年3月進入公司其中一個雲端儲存環境，逗留約六日，期間從其Amazon Web Services（AWS）雲端帳戶取走資料。公司當時曾披露網絡受干擾，之後再向美國衞生及公共服務部（HHS）提交較完整的受影響人數；這個數字日後仍可能調整。2

CareCloud在3月披露事件時，曾表示網絡服務受到干擾。至於黑客最初是如何取得AWS環境的存取權，公開資料目前仍未有詳細交代。2

哪些資料可能被盜？

目前列出的資料類型包括：

• 姓名及郵寄地址
• 美國社會保障號碼
• 醫療及健康資料，包括電子醫療紀錄
• 政府身份證明資料，例如護照號碼及駕駛執照號碼
• 部分人士的銀行資料及其他財務資訊2

這類資料同時涉及醫療私隱、身份盗用及金融詐騙風險。不過，公開資料未有說明每一位受影響人士都涉及上述全部資料類型。

CareCloud是甚麼公司？

CareCloud是一間位於美國新澤西州的醫療科技公司，為醫院、醫生診所及其他醫療機構提供電子醫療紀錄、診所管理及帳單相關服務。換句話說，它不只是一般軟件供應商，亦可能代醫療機構儲存及處理大量病人和診所營運資料。2

公司向美國政府如何報告？

CareCloud已向HHS轄下的民權辦公室（Office for Civil Rights，OCR）提交外洩通報。OCR的公開平台會列出影響500人或以上、並正在調查中的受保護健康資料外洩事件。1

正是這份向HHS提交的資料，令外界首次正式得知事件涉及超過375萬人，而不再只是早前約34.5萬人的初步估算。2

仍然未解答的問題

CareCloud自3月首次披露事件後，未有公開提供更完整的攻击经过。报道指，公司行政总裁Stephen Snyder亦未有回应有关以下问题的查询：

• 公司有否向黑客支付贖金
• 誰負責公司的網絡保安決策
• 他是否會辭任行政總裁2

因此，現時沒有公開證據可以確認公司是否支付贖金、事件是否由某一個具名黑客組織策劃、管理層是否需要承擔責任，或Snyder是否計劃離任。2

在2026年醫療外洩案中有多大？

按事件披露時的公開數據，CareCloud涉及3,756,469人，排名2026年美國已報告醫療數據外洩案第五位。2

事件規模大過TriZetto Provider Solutions報告的3,433,965人外洩案；另一方面，DentaQuest向HHS申報的受影響人數則達1,500萬人。13 Craneware同樣是2026年醫療科技界備受關注的外洩事件之一，但目前公開報道未有提供可直接比較的最終受影響人數，因此不宜在沒有該數字的情況下，將它與CareCloud作出明確排名。3

目前最清晰的結論是：這宗原本看似影響數十萬人的事件，經HHS資料更新後，已變成涉及數百萬人的大型醫療資料外洩案；而攻擊入口、責任分工及是否涉及贖金等關鍵細節，仍有待CareCloud或調查機構進一步交代。