Il fornitore di tecnologia sanitaria CareCloud ha confermato che un incidente di cybersecurity divulgato all’inizio di quest’anno ha colpito 3.756.469 persone, chiarendo in modo significativo la portata di una violazione che coinvolgeva un ambiente che conteneva informazioni dei pazienti.
CareCloud fornisce servizi tecnologici e amministrativi alle organizzazioni sanitarie, inclusi cartelle cliniche elettroniche, fatturazione medica, gestione degli studi clinici e servizi basati sul ciclo dei ricavi. Poiché l’azienda opera dietro le quinte per i fornitori di servizi sanitari, alcuni pazienti interessati potrebbero non aver precedentemente familiarità con CareCloud.
L’incidente è diventato pubblico per la prima volta a marzo tramite una denuncia presso la Securities and Exchange Commission degli Stati Uniti. CareCloud ha riferito che l’attacco ha causato circa otto ore di interruzione della rete e ha temporaneamente impedito l’accesso a uno dei suoi database. L’azienda ha anche riconosciuto che l’ambiente interessato conteneva informazioni sui pazienti.
CareCloud ha successivamente avviato un’indagine per stabilire cosa sia accaduto e determinare il numero di persone le cui informazioni potrebbero essere state compromesse. La cifra risultante è stata segnalata al Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS): 3.756.469 persone colpite.
Ulteriori dettagli sono emersi quando CareCloud ha iniziato a distribuire lettere di notifica di violazione il 25 luglio. Secondo la notifica, una terza parte non autorizzata ha avuto accesso a uno degli ambienti Amazon Web Services di CareCloud tra il 10 e il 16 marzo 2026. L’intruso ha affermato di aver estratto informazioni da database situati all’interno di quell’ambiente.
La notifica di esempio di CareCloud conferma che i nomi erano tra le informazioni coinvolte. Tuttavia, la lettera pubblicamente disponibile non fornisce una descrizione completa di tutte le categorie di informazioni compromesse. Sarebbe quindi inaccurato concludere solo dalla notifica che particolari documenti medici, finanziari o di identificazione siano stati esposti oltre alle informazioni specificamente divulgate.
L’azienda fornisce alle persone interessate servizi di protezione dell’identità tramite IDX. A seconda del destinatario, il periodo di monitoraggio offerto dura 12 o 24 mesi, con iscrizione disponibile fino al 17 dicembre 2026.
La portata dell’incidente è particolarmente significativa perché CareCloud fornisce infrastrutture e servizi alle organizzazioni sanitarie invece di mantenere rapporti diretti con molti dei pazienti le cui informazioni elabora. Di conseguenza, le notifiche di violazione potrebbero essere la prima comunicazione diretta che alcuni individui interessati ricevono dall’azienda.
I destinatari dovrebbero essere cauti riguardo a comunicazioni impreviste che riguardano CareCloud, operatori sanitari o informazioni potenzialmente collegate all’incidente. Le informazioni personali rubate possono rendere i tentativi di phishing più convincenti quando gli attaccanti inseriscono dati accurati sui loro obiettivi.
Attualmente non esiste alcuna attribuzione pubblica all’intrusione. Nessuna operazione di ransomware o estorsione dati conosciuta ha rivendicato la responsabilità della compromessa di CareCloud, e l’identità della parte non autorizzata rimane non divulgata.