CareCloud Confirms Data Breach Affecting Over 345,000 Medical Records

Ang CareCloud, isang kilalang kumpanya ng teknolohiyang pangkalusugan na nakabase sa New Jersey, ay opisyal na kinikilala ang isang makabuluhang paglabag sa data na nakompromiso ang sensitibong impormasyon ng daan-daang libong mga pasyente. Habang unang ibinunyag ng kumpanya ang paglitaw ng isang cyberattack noong Marso, ang mga kamakailang paghahain sa mga abogado ng estado ay nilinaw ang sukat ng insidente. Nakumpirma na ngayon na hindi bababa sa 345,000 indibidwal sa buong Estados Unidos ang nalantad ang kanilang data. Nagmula ang paglabag sa isa sa anim na panloob na imbakan ng data ng pasyente ng kumpanya. Dahil nagsisilbi ang CareCloud ng higit sa 45,000 tagapagbigay ng pangangalagang pangkalusugan, kabilang ang mga ospital at mga tanggapang medikal, nananatiling mataas ang potensyal para sa higit pang apektadong mga indibidwal habang patuloy na pinoproseso ang mga paghahayag sa antas ng estado. Ang kumpanya sa una ay nagpapanatili ng isang tahimik na postura tungkol sa mga detalye ng panghihimasok, ngunit ang mga bagong regulasyong paghaharap ay nagbigay ng pinakadetalyadong pagtatasa ng insidente hanggang sa kasalukuyan.

Ayon sa mga opisyal na paunawa ng paglabag na ibinigay sa mga awtoridad sa regulasyon, pinananatili ng mga hindi awtorisadong aktor ang access sa isang partikular na tindahan ng data ng rekord ng elektronikong kalusugan sa loob ng anim na araw. Ang palugit ng paglabag ay tumagal mula Marso 10, 2026, hanggang Marso 16, 2026. Kinumpirma ng mga imbestigador na ang nakompromisong imprastraktura ay naka-host sa Amazon Web Services (AWS). Bagama't hindi idinetalye ng kumpanya sa publiko ang eksaktong mekanismo ng hindi awtorisadong pagpasok, kinilala nila na inangkin ng mga salarin na matagumpay nilang na-exfiltrate ang data mula sa kanilang mga database. Ang mga naturang claim ay madalas na nauugnay sa mga digital na pagtatangka sa pangingikil, kung saan ang mga umaatake ay nagbibigay ng mga sample ng ninakaw na impormasyon sa mga biktima bilang patunay ng isang matagumpay na paglabag, kadalasan bilang isang pasimula sa mga kahilingan sa ransom na sinadya upang pigilan ang pampublikong pagbubunyag ng mga ninakaw na file. Sa kabila ng mga tagapagpahiwatig na ito, hindi kinumpirma ng CareCloud ang pagkakasangkot ng isang partikular na ransomware o sindikato ng pangingikil, at walang kilalang grupo ang pampublikong responsable sa pag-atake sa ngayon.

Ang lawak ng ninakaw na impormasyon ay naglalagay ng mga apektadong indibidwal sa isang mataas na panganib para sa pagnanakaw ng pagkakakilanlan at pandaraya sa pananalapi. Isinasaad ng mga regulasyong paghaharap na ang mga na-exfiltrate na talaan ay naglalaman ng komprehensibong hanay ng mga personal na pagkakakilanlan. Higit pa sa karaniwang mga detalye sa pakikipag-ugnayan gaya ng mga pangalan at postal address, na-access ng mga hacker ang napakasensitibong impormasyon, kabilang ang mga numero ng Social Security at pagkakakilanlang ibinigay ng gobyerno, tulad ng mga pasaporte at lisensya sa pagmamaneho. Higit pa rito, nakompromiso ng paglabag ang seguridad sa pananalapi, dahil ang mga detalye ng bank account at mga numero ng card ng pagbabayad ay kabilang sa mga file na na-access ng mga nanghihimasok. Marahil ang pinaka-nakababahala para sa mga pasyente ay ang pagkakalantad ng mga rekord na medikal at nauugnay sa kalusugan, na naglalaman ng impormasyon na maaaring magamit para sa pagnanakaw ng pagkakakilanlang medikal. Ang kumpanya ay kasalukuyang nasa proseso ng pag-abiso sa mga indibidwal na ito, kahit na ang kakulangan ng pampublikong komento mula sa CareCloud CEO na si Stephen Snyder ay nag-iwan ng maraming tanong tungkol sa pangmatagalang mga diskarte sa remediation ng kumpanya na hindi nasasagot.

Ang insidente ng CareCloud ay bahagi ng nakakabagabag, patuloy na trend ng cyberattacks na nagta-target sa sektor ng teknolohiya ng pangangalagang pangkalusugan noong 2026. Ang industriyang ito ay naging pangunahing target para sa mga malisyosong aktor dahil sa mataas na halaga ng personal na impormasyon sa kalusugan sa black market. Ang sukat ng paglabag sa CareCloud ay sumasalamin sa iba pang kamakailang malalaking pagkabigo sa seguridad sa larangan. Halimbawa, ang kumpanya ng kita sa pangangalagang pangkalusugan na TriZetto ay nakaranas kamakailan ng isang paglabag na nakaapekto sa 3.4 milyong tao. Katulad nito, ang NYC Health + Hospitals ay humarap sa isang buwang panghihimasok na nagresulta sa pagnanakaw ng data ng kalusugan na pagmamay-ari ng 1.8 milyong pasyente, pati na rin ang pagkawala ng mga rekord ng fingerprint ng empleyado. Ang mga kaganapang ito, na sinamahan ng isang hiwalay, makabuluhang pagnanakaw ng data na kinumpirma noong nakaraang linggo ng tech provider na nakabase sa U.K. na Craneware, ay nagha-highlight ng isang sistematikong kahinaan sa digital accounting at imprastraktura ng pagsingil na sumusuporta sa mga medikal na provider ng U.S., na inilalagay ang privacy ng pasyente sa unahan ng mga alalahanin sa cybersecurity.