CareCloud-datalek treft 345.000 mensen, medische dossiers gestolen

Het in New Jersey gevestigde gezondheidstechnologiebedrijf CareCloud, dat patiëntendossiers beheert voor meer dan 45.000 zorgverleners, is begonnen met het informeren van ten minste 345.000 personen dat hun medische dossiers en burgerservicenummers zijn gestolen bij een cyberaanval in maart 2026. Hackers hadden gedurende zes dagen, van 10 tot en met 16 maart 2026, toegang tot een van de elektronische patiëntendossierdatabases op Amazon Web Services. Daarbij stalen ze namen, adressen, door de overheid afgegeven identiteitsbewijzen, bankrekeninggegevens, creditcardnummers en gedetailleerde gezondheidsinformatie.

CareCloud meldde de inbreuk op 27 maart 2026 bij toezichthouders, maar gaf pas details toen uit een melding aan de procureur-generaal van Californië op 28 juli 2026 de omvang bleek. Een hacker 'beweerde gegevens uit databases te hebben geëxfiltreerd', aldus de melding, maar CareCloud legde niet uit hoe het de claim ontving.

Staatsmeldingen bij procureurs-generaal in New Hampshire, Massachusetts, Texas, Maine en Californië wijzen erop dat het totale aantal getroffenen waarschijnlijk zal stijgen naarmate er meer meldingen worden gedaan. CEO Stephen Snyder van CareCloud reageerde niet op een verzoek om commentaar.

Het incident voegt zich bij een reeks datalekken in de gezondheidszorg in 2026. Bij TriZetto werden gegevens van 3,4 miljoen mensen gecompromitteerd; een maandlange inbraak bij NYC Health + Hospitals legde gezondheidsgegevens van 1,8 miljoen patiënten en vingerafdrukken van duizenden werknemers bloot; en de Britse leverancier Craneware bevestigde dat hackers een 'aanzienlijke hoeveelheid' klantgegevens van zijn servers hadden gestolen.