CareCloud 資料外洩擴大至 375 萬人：AWS 遭入侵，醫療與身分資料恐已被竊

CareCloud 的資料外洩規模在 2026 年 8 月被大幅上修：公司向美國衛生及公共服務部（HHS）通報，駭客竊取了 3,756,469 人的個人資料與醫療紀錄。這個數字遠高於先前約 34.5 萬人的初步估計，也使事件成為截至披露時，2026 年美國已通報醫療資料外洩案中規模第五大的事件。2

事件如何發生？

CareCloud 表示，未經授權人士在 2026 年 3 月取得其一個雲端儲存環境的存取權，持續約 6 天，期間從公司的 Amazon Web Services（AWS）帳戶外傳資料。2

公司早在 3 月便披露網路中斷事件，當時指出平台曾受到約 8 小時的影響；不過，受影響人數的完整規模直到 8 月向 HHS 提交通報後才逐漸曝光，且相關數字仍可能變動。2

哪些資料可能遭竊？

目前公開資訊顯示，外洩內容可能涵蓋：

• 姓名與郵寄地址
• 美國社會安全號碼（Social Security number）
• 醫療及健康資訊、電子病歷
• 駕照號碼、護照號碼等政府核發身分證件資料
• 部分人士的銀行資料及其他金融資訊2

這類資料同時涉及醫療隱私、身分認證與金融安全，潛在風險不只限於病歷曝光，也可能被用於身分冒用或金融詐騙。至於每一位受影響者實際涉及哪些資料，公開資料尚未完整列明。

CareCloud 是什麼公司？

CareCloud 是一家位於美國紐澤西州的醫療科技公司，為醫院、醫師診所及其他醫療機構提供電子病歷、診所管理與帳務處理等服務。由於它替醫療業者儲存電子病歷並處理醫療與收費資料，因此能接觸到數百萬名患者的資訊。2

在這起事件中，CareCloud 屬於醫療服務供應鏈中的「業務夥伴」（business associate），而不一定是患者直接就診的醫院或診所。這也說明，患者資料的資安風險可能來自醫療機構所使用的第三方科技與帳務服務商。

美國官方如何記錄這起事件？

CareCloud 已向 HHS 民權辦公室（Office for Civil Rights，OCR）通報。OCR 的公開資料庫會列出影響 500 人以上、目前接受調查的未加密受保護健康資訊外洩事件。1

8 月的通報讓外界首次掌握這起事件超過 375 萬人的完整規模。2 不過，官方資料庫的受影響人數是依企業提交及更新的資訊建立，後續仍可能修正。

哪些關鍵問題仍沒有答案？

CareCloud 自 3 月首次披露事件後，尚未公開提供更完整的攻擊經過。報導指出，執行長 Stephen Snyder 也未回應有關以下問題的詢問：

• 公司是否支付贖金
• 哪個部門或主管負責資安決策
• 管理層是否需要為事件負責
• Snyder 是否考慮辭任2

截至目前，沒有公開確認的證據顯示 CareCloud 已支付贖金，也沒有駭客組織正式宣布對事件負責。公司管理層是否存在可歸責的疏失，以及執行長是否會離任，同樣尚未獲得證實。2

在 2026 年醫療資料外洩案中排第幾？

以披露時已向 HHS 通報的案件比較，CareCloud 的 3,756,469 名受影響者，規模高於 TriZetto Provider Solutions 通報的 3,433,965 人，因此暫列 2026 年第五大醫療資料竊取事件。13

DentaQuest 的 HHS 通報則列出 1,500 萬名受影響者，規模明顯更大。13 Craneware 也在 2026 年發生受到關注的醫療科技業資安事件，但現有報導尚未提供可直接比較的最終受影響人數，因此不宜在缺乏同等數據的情況下，將其與 CareCloud 排名比較。3

這起事件最值得注意的地方，不只是受影響人數超過 375 萬，而是初步通知與後續官方通報之間出現逾十倍差距。對患者而言，實際涉及哪些資料、公司將提供何種補救措施，以及監管調查最後如何定性，仍是後續需要密切關注的重點。