CareCloud Confirms Data Breach Affecting Over 345,000 Medical Records

CareCloud, một công ty công nghệ y tế nổi tiếng có trụ sở tại New Jersey, đã chính thức thừa nhận một vụ vi phạm dữ liệu nghiêm trọng làm tổn hại thông tin nhạy cảm của hàng trăm nghìn bệnh nhân. Trong khi công ty lần đầu tiên tiết lộ sự xuất hiện của một cuộc tấn công mạng vào tháng 3, các hồ sơ gần đây gửi tới tổng chưởng lý tiểu bang đã làm rõ quy mô của vụ việc. Hiện đã xác nhận rằng ít nhất 345.000 cá nhân trên khắp Hoa Kỳ đã bị lộ dữ liệu. Vụ vi phạm bắt nguồn từ một trong sáu kho lưu trữ dữ liệu bệnh nhân nội bộ của công ty. Vì CareCloud phục vụ hơn 45.000 nhà cung cấp dịch vụ chăm sóc sức khỏe, bao gồm cả bệnh viện và văn phòng y tế, nên khả năng các cá nhân bị ảnh hưởng thêm vẫn rất cao do các thông tin tiết lộ ở cấp tiểu bang tiếp tục được xử lý. Công ty ban đầu giữ im lặng về các chi tiết cụ thể của vụ xâm nhập, nhưng các hồ sơ quy định mới đã cung cấp đánh giá chi tiết nhất về vụ việc cho đến nay.

Theo các thông báo vi phạm chính thức được cung cấp cho các cơ quan quản lý, những kẻ trái phép đã duy trì quyền truy cập vào kho lưu trữ dữ liệu hồ sơ sức khỏe điện tử cụ thể trong thời gian sáu ngày. Khoảng thời gian vi phạm kéo dài từ ngày 10 tháng 3 năm 2026 đến ngày 16 tháng 3 năm 2026. Các nhà điều tra xác nhận rằng cơ sở hạ tầng bị xâm nhập được lưu trữ trên Amazon Web Services (AWS). Mặc dù công ty chưa công khai chi tiết cơ chế chính xác của việc xâm nhập trái phép nhưng họ thừa nhận rằng thủ phạm tuyên bố đã lấy thành công dữ liệu từ cơ sở dữ liệu của họ. Những tuyên bố như vậy thường liên quan đến các nỗ lực tống tiền kỹ thuật số, trong đó những kẻ tấn công cung cấp mẫu thông tin bị đánh cắp cho nạn nhân làm bằng chứng cho việc vi phạm thành công, thường là khúc dạo đầu cho các yêu cầu tiền chuộc nhằm ngăn chặn việc tiết lộ công khai các tệp bị đánh cắp. Bất chấp những dấu hiệu này, CareCloud vẫn chưa xác nhận sự liên quan của một tổ chức tống tiền hoặc ransomware cụ thể và không có nhóm nào được biết đến công khai nhận trách nhiệm về vụ tấn công vào thời điểm này.

Phạm vi thông tin bị đánh cắp khiến các cá nhân bị ảnh hưởng có nguy cơ cao bị đánh cắp danh tính và gian lận tài chính. Hồ sơ theo quy định chỉ ra rằng các hồ sơ được lọc ra có chứa nhiều thông tin nhận dạng cá nhân đầy đủ. Ngoài các chi tiết liên hệ tiêu chuẩn như tên và địa chỉ bưu điện, tin tặc còn truy cập những thông tin rất nhạy cảm, bao gồm số An sinh xã hội và giấy tờ tùy thân do chính phủ cấp, chẳng hạn như hộ chiếu và bằng lái xe. Hơn nữa, vi phạm đã làm tổn hại đến an ninh tài chính, vì chi tiết tài khoản ngân hàng và số thẻ thanh toán nằm trong số các tệp bị kẻ xâm nhập truy cập. Có lẽ điều khiến bệnh nhân lo ngại nhất là hồ sơ y tế và hồ sơ liên quan đến sức khỏe bị lộ, trong đó có chứa thông tin có thể bị lợi dụng để đánh cắp danh tính y tế. Công ty hiện đang trong quá trình thông báo cho những cá nhân này, mặc dù việc thiếu bình luận công khai từ Giám đốc điều hành CareCloud, Stephen Snyder, đã khiến nhiều câu hỏi liên quan đến chiến lược khắc phục lâu dài của công ty chưa được giải đáp.

Sự cố CareCloud là một phần trong xu hướng tấn công mạng dai dẳng, đáng lo ngại nhắm vào lĩnh vực công nghệ chăm sóc sức khỏe vào năm 2026. Ngành này đã trở thành mục tiêu chính của những kẻ độc hại do thông tin sức khỏe cá nhân có giá trị cao trên thị trường chợ đen. Quy mô của vụ vi phạm CareCloud phản ánh những lỗi bảo mật lớn khác gần đây trong lĩnh vực này. Ví dụ: công ty doanh thu chăm sóc sức khỏe TriZetto gần đây đã gặp phải một vụ vi phạm ảnh hưởng đến 3,4 triệu người. Tương tự, NYC Health + Hospitals đã phải đối mặt với một vụ xâm nhập kéo dài một tháng dẫn đến việc đánh cắp dữ liệu sức khỏe của 1,8 triệu bệnh nhân cũng như mất hồ sơ dấu vân tay của nhân viên. Những sự kiện này, kết hợp với một vụ đánh cắp dữ liệu quan trọng, riêng biệt được nhà cung cấp công nghệ Craneware có trụ sở tại Vương quốc Anh xác nhận vào tuần trước, nêu bật lỗ hổng hệ thống trong cơ sở hạ tầng thanh toán và kế toán kỹ thuật số hỗ trợ các nhà cung cấp y tế Hoa Kỳ, đặt quyền riêng tư của bệnh nhân lên hàng đầu trong các mối lo ngại về an ninh mạng.