CareCloud prijavio krađu podataka više od 3,75 miliona pacijenata
CareCloud je američkom Ministarstvu zdravlja i socijalnih službi (HHS) prijavio da je martovski sajber-napad zahvatio više od 3,75 miliona osoba. Kompanija iz Nju Džersija, koja zdravstvenim ustanovama pruža skladištenje elektronskih medicinskih kartona, potvrdila je da su napadači preuzeli podatke pacijenata iz njenog Amazon Web Services okruženja.
Objava je prva potvrda obima incidenta. HHS prijava je podneta u ponedeljak, dok je broj pogođenih osoba, prema navodima, u utorak povećan. Nije poznato da li će taj broj biti dodatno revidiran.
Koji podaci su izneti
CareCloud je u obaveštenjima o povredi podataka naveo da su napadači izneli skupove podataka iz AWS naloga kompanije. Među njima su imena, poštanske adrese, brojevi socijalnog osiguranja i medicinske, odnosno zdravstvene informacije pacijenata.
Ukradeni skup može da obuhvata i brojeve dokumenata koje izdaju državni organi, poput pasoša i vozačkih dozvola, kao i bankarske i finansijske podatke. Zbog kombinacije identifikacionih i zdravstvenih informacija, posledice incidenta nisu ograničene samo na poverljivost medicinske dokumentacije.
Pristup cloud okruženju trajao je šest dana
Kompanija je još u martu saopštila da su hakeri tokom šest dana pristupali medicinskim podacima čuvanim u jednom njenom cloud skladišnom okruženju. Naknadna obaveštenja precizirala su da je došlo do iznošenja podataka sa Amazon Web Services naloga.
CareCloud obrađuje podatke i informacije za naplatu u ime bolnica, ordinacija i drugih medicinskih praksi, a njena infrastruktura služi desetinama hiljada zdravstvenih pružalaca usluga širom SAD. Zbog takve uloge, jedan incident može obuhvatiti podatke velikog broja pacijenata iz više organizacija.
Kompanija nije javno komentarisala napad nakon martovskog otkrivanja incidenta. Izvršni direktor Stephen Snyder nije odgovorio na pitanja o tome da li je napadačima plaćen otkup, ko je zadužen za sajber-bezbednost u kompaniji i da li planira ostavku.
Mesto među ovogodišnjim incidentima
Sa više od 3,75 miliona pogođenih osoba, CareCloudov slučaj je peta najveća potvrđena krađa zdravstvenih podataka u 2026. godini. U martu je TriZetto potvrdio da je povreda podataka iz 2024. zahvatila 3,4 miliona ljudi, dok Craneware još nije objavio broj osoba čiji su podaci ukradeni u julskom incidentu.
DentaQuest je, prema tekućoj evidenciji HHS-a, do sada prijavio najveći ovogodišnji zdravstveni incident, sa najmanje 15 miliona pogođenih osoba. U kontekstu ranijih obaveštenja CareClouda, potvrđen obim incidenta u CareCloudu dobija potvrđen obim od više miliona zahvaćenih pacijenata.
Poslovna pouka
Zdravstvene organizacije koje koriste spoljne platforme za evidenciju i naplatu moraju znati gde se podaci čuvaju, ko ima pristup cloud nalozima i kako se nadzire neuobičajeno kopiranje ili iznošenje podataka. Jasne odgovornosti, ograničene privilegije pristupa i pripremljen postupak obaveštavanja ostaju praktične mere za upravljanje rizikom kada jedan dobavljač obrađuje podatke velikog broja ustanova.