Gli hacker hanno rubato informazioni personali e cartelle cliniche di oltre 3,75 milioni di persone in una violazione dei sistemi di CareCloud, società statunitense specializzata nella gestione dei dati sanitari. L'azienda ha confermato l'entità della violazione alle autorità federali, rendendo il caso il quinto più grave furto di dati sanitari registrato negli Stati Uniti nel 2026.
La violazione
CareCloud ha dettagliato la violazione, avvenuta a marzo, in una comunicazione al Department of Health and Human Services (HHS) degli Stati Uniti. Il numero delle persone coinvolte è stato successivamente rivisto al rialzo in un aggiornamento, anche se non è ancora chiaro se la cifra sia destinata a crescere ulteriormente.
La società, con sede nel New Jersey, fornisce servizi di archiviazione delle cartelle cliniche elettroniche a decine di migliaia di operatori sanitari negli Stati Uniti e gestisce i dati di milioni di pazienti.
CareCloud gestisce una grande quantità di informazioni sanitarie e dati relativi alla fatturazione per conto di ospedali, studi medici e altre strutture sanitarie.
I dati sottratti
CareCloud non ha fornito ulteriori commenti pubblici sull'attacco informatico da quando, a marzo, aveva comunicato la violazione. In quell'occasione aveva riferito che gli hacker avevano avuto accesso ai dati medici dei pazienti conservati in uno degli ambienti di cloud storage dell'azienda per un periodo di sei giorni.
Successivamente, nelle comunicazioni inviate alle persone coinvolte nella violazione, la società ha precisato che gli hacker avevano sottratto dati dall'account Amazon Web Services di CareCloud.
Le informazioni rubate comprendono nomi, indirizzi postali, numeri di previdenza sociale e dati medici e sanitari. Gli hacker hanno inoltre sottratto numeri di documenti rilasciati dalle autorità, come passaporti e patenti di guida, oltre a informazioni bancarie e finanziarie.
L'amministratore delegato di CareCloud, Stephen Snyder, non ha risposto alle diverse richieste di informazioni sull'incidente, tra cui quelle relative a un eventuale pagamento agli hacker, alla persona o al team responsabile della sicurezza informatica dell'azienda e all'eventualità di sue dimissioni dopo la violazione.
Gli altri attacchi nel settore sanitario
La violazione di CareCloud si aggiunge a una serie di importanti attacchi informatici che hanno colpito il settore sanitario nel corso del 2026.
A marzo, il gruppo tecnologico TriZetto aveva confermato che una violazione dei dati avvenuta nel 2024 aveva coinvolto le informazioni di 3,4 milioni di persone. Un numero ancora non precisato di persone ha inoltre subito il furto dei propri dati durante una violazione avvenuta a luglio presso Craneware, società specializzata in software per la fatturazione sanitaria.
Secondo il registro aggiornato dell'HHS sulle violazioni dei dati sanitari, il caso più grave registrato quest'anno negli Stati Uniti riguarda finora DentaQuest. La violazione ha coinvolto i dati personali e sanitari di almeno 15 milioni di persone.
