Der Anbieter von Gesundheitstechnologie CareCloud hat bestätigt, dass ein Anfang dieses Jahres bekanntgegebener Cybersicherheitsvorfall 3.756.469 Personen betraf, was das Ausmaß eines Sicherheitsvorfalls in einer Umgebung mit Patientendaten erheblich verdeutlicht.
CareCloud bietet Technologie- und Verwaltungsdienstleistungen für Gesundheitsorganisationen an, darunter elektronische Gesundheitsakten, medizinische Abrechnung, Praxismanagement und Umsatzzyklusdienste. Da das Unternehmen hinter den Kulissen für Gesundheitsdienstleister arbeitet, waren einige betroffene Patienten möglicherweise zuvor nicht mit CareCloud vertraut.
Der Vorfall wurde erstmals im März durch eine Einreichung bei der US-amerikanischen Börsenaufsichtsbehörde öffentlich. CareCloud berichtete, dass der Angriff etwa acht Stunden Netzwerkstörungen verursachte und vorübergehend den Zugang zu einer seiner Datenbanken verhinderte. Das Unternehmen räumte außerdem ein, dass die betroffene Umgebung Patientendaten enthielt.
CareCloud leitete daraufhin eine Untersuchung ein, um festzustellen, was passiert war, und um die Anzahl der Personen zu ermitteln, deren Informationen kompromittiert worden sein könnten. Die resultierende Zahl wurde dem US-Gesundheitsministerium (HHS) gemeldet: 3.756.469 betroffene Personen.
Weitere Details kamen ans Licht, als CareCloud am 25. Juli begann, Benachrichtigungsschreiben über Sicherheitsverletzungen zu verteilen. Laut der Benachrichtigung griff eine unbefugte dritte Partei zwischen dem 10. und 16. März 2026 auf eine der Amazon-Web-Services-Umgebungen von CareCloud zu. Der Eindringling behauptete, Informationen aus Datenbanken innerhalb dieser Umgebung extrahiert zu haben.
Die Musterbenachrichtigung von CareCloud bestätigt, dass Namen zu den beteiligten Informationen gehörten. Der öffentlich zugängliche Brief enthält jedoch keine vollständige Beschreibung aller Kategorien kompromittierter Informationen. Es wäre daher unzutreffend, allein aus der Benachrichtigung zu schließen, dass bestimmte medizinische, finanzielle oder identifikationsbezogene Unterlagen über die ausdrücklich offengelegten Informationen hinaus offengelegt wurden.
Das Unternehmen bietet betroffenen Personen Identitätsschutzdienste über IDX an. Je nach Empfänger dauert der angebotene Überwachungszeitraum entweder 12 oder 24 Monate, mit einer Anmeldung bis zum 17. Dezember 2026.
Das Ausmaß des Vorfalls ist besonders bedeutsam, da CareCloud Infrastruktur und Dienstleistungen für Gesundheitsorganisationen bereitstellt, anstatt direkte Beziehungen zu vielen der Patienten zu pflegen, deren Daten es verarbeitet. Daher könnten Sicherheitsmeldungen die erste direkte Kommunikation sein, die einige betroffene Personen vom Unternehmen erhalten.
Empfänger sollten vorsichtig sein bei unerwarteten Kommunikationen, die sich auf CareCloud, Gesundheitsdienstleister oder möglicherweise mit dem Vorfall verbundene Informationen beziehen. Gestohlene persönliche Informationen können Phishing-Versuche überzeugender machen, wenn Angreifer genaue Angaben zu ihren Zielen angeben.
Derzeit gibt es keine öffentliche Zuschreibung für den Eingriff. Keine bekannte Ransomware- oder Datenerpressungsoperation hat die Verantwortung für die Kompromittierung von CareCloud übernommen, und die Identität der unbefugten Partei bleibt unbekannt.