Kebocoran Data CareCloud Berdampak pada 3,7 Juta Pasien
Perusahaan teknologi kesehatan Amerika Serikat, CareCloud, mengungkapkan bahwa insiden kebocoran data yang terjadi pada awal tahun ini telah berdampak terhadap lebih dari 3,7 juta individu.
CareCloud merupakan perusahaan penyedia layanan teknologi untuk sektor kesehatan yang menyediakan berbagai solusi, termasuk electronic health records (EHR), medical billing, practice management, serta revenue-cycle management.
Jumlah korban tersebut jauh lebih besar dibandingkan perkiraan awal ketika perusahaan pertama kali mengungkapkan insiden pada Maret lalu.
3,75 Juta Orang Terdampak
Dalam laporan kepada U.S. Department of Health and Human Services (HHS), CareCloud menyebutkan bahwa total individu yang terdampak mencapai 3.756.469 orang.
Perusahaan mulai mengirimkan pemberitahuan kepada individu yang terdampak pada 25 Juli 2026, setelah menyelesaikan investigasi terhadap insiden tersebut.
Investigasi menemukan bahwa pihak tidak berwenang berhasil mendapatkan akses ke salah satu lingkungan Amazon Web Services (AWS) milik CareCloud.
Akses tersebut terjadi antara 10 Maret hingga 16 Maret 2026. Menurut hasil investigasi, pihak eksternal tersebut mengklaim telah mengekstrak data dari sejumlah database yang berada di dalam lingkungan AWS tersebut.
Serangan Sebelumnya Menyebabkan Gangguan Jaringan
CareCloud pertama kali mengungkapkan insiden tersebut pada Maret melalui laporan kepada U.S. Securities and Exchange Commission (SEC).
Pada saat itu, perusahaan mengatakan serangan menyebabkan gangguan jaringan selama sekitar delapan jam dan membuat salah satu database tidak dapat diakses.
Investigasi kemudian dilakukan untuk mengetahui bagaimana attacker memperoleh akses serta menentukan data apa saja yang berada dalam lingkungan yang terdampak.
Karena sistem yang dikompromikan menyimpan data pasien, sejak awal perusahaan telah memperingatkan adanya kemungkinan informasi sensitif ikut terpapar atau dicuri.
Investigasi lanjutan akhirnya mengungkap bahwa jumlah individu yang terdampak mencapai jutaan orang.
Jenis Data yang Terungkap Belum Dijelaskan Secara Lengkap
Pemberitahuan yang disampaikan kepada otoritas memberikan informasi bahwa data individu berada dalam lingkungan yang diakses pihak tidak berwenang.
Namun, contoh surat pemberitahuan yang dipublikasikan kepada otoritas hanya menyebutkan nama lengkap dan tidak menjelaskan secara rinci seluruh jenis informasi yang mungkin terekspos.
Kondisi ini membuat tingkat risiko bagi setiap individu yang terdampak belum dapat dipastikan sepenuhnya.
Mengingat CareCloud menangani berbagai layanan teknologi kesehatan, termasuk electronic health records dan billing, data yang tersimpan dalam sistem perusahaan berpotensi berkaitan dengan informasi kesehatan maupun administratif pasien.
CareCloud Tidak Berhubungan Langsung dengan Sebagian Pasien
Salah satu hal yang membuat insiden ini berbeda adalah CareCloud pada dasarnya merupakan penyedia teknologi untuk organisasi kesehatan, bukan perusahaan yang secara langsung berhubungan dengan seluruh pasien yang datanya tersimpan di sistem mereka.
Akibatnya, sebagian individu yang menerima pemberitahuan mengenai kebocoran data kemungkinan baru pertama kali mendengar nama CareCloud ketika mendapatkan surat tersebut.
Perusahaan menyediakan layanan perlindungan identitas melalui IDX bagi individu yang terdampak. Masa perlindungan yang ditawarkan adalah 12 atau 24 bulan, tergantung pemberitahuan yang diterima, dan layanan tersebut dapat diklaim hingga 17 Desember 2026.
Waspadai Phishing Setelah Kebocoran Data
Individu yang terdampak disarankan meningkatkan kewaspadaan terhadap serangan lanjutan, khususnya phishing yang memanfaatkan informasi hasil kebocoran.
Data yang dicuri dalam sebuah insiden tidak selalu langsung digunakan untuk melakukan penipuan. Informasi tersebut dapat dimanfaatkan kemudian untuk membuat email, pesan, atau panggilan telepon yang terlihat lebih meyakinkan.
Pelaku dapat menggunakan nama, identitas organisasi kesehatan, atau informasi lain yang berkaitan dengan korban untuk meningkatkan kredibilitas upaya penipuan.
Karena itu, korban sebaiknya tidak sembarangan membuka tautan atau lampiran dari pesan yang tidak terduga dan perlu memverifikasi setiap permintaan yang berkaitan dengan akun, pembayaran, maupun informasi pribadi.
Belum Ada Kelompok Ransomware yang Mengaku Bertanggung Jawab
Hingga laporan tersebut diterbitkan, belum ada kelompok ransomware maupun data extortion yang secara terbuka mengklaim bertanggung jawab atas serangan terhadap CareCloud.
Investigasi perusahaan berfokus pada aktivitas akses tidak sah yang terjadi di lingkungan AWS serta data yang kemungkinan telah diekstrak dari database.
Dengan jumlah korban yang mencapai lebih dari 3,7 juta orang, insiden ini menjadi salah satu kebocoran data signifikan yang melibatkan penyedia teknologi kesehatan pada 2026.
Besarnya skala dampak juga menunjukkan bahwa kompromi terhadap penyedia layanan teknologi kesehatan dapat memengaruhi jutaan individu sekaligus, meskipun perusahaan tersebut bukan fasilitas kesehatan yang berinteraksi langsung dengan pasien.
Sumber: [CareCloud]
