CareCloud beziffert die Folgen des Vorfalls inzwischen deutlich höher als frühere öffentliche Angaben vermuten ließen. Der vom Department of Health and Human Services (HHS) gepflegte Tracker für Datenschutzverletzungen im Gesundheitswesen zeigte am Montag 3.371.508 betroffene Personen und am Dienstag bereits 3.756.469.
Zuvor hatten im Juli veröffentlichte Meldungen auf den Webseiten mehrerer Generalstaatsanwälte jeweils nur Zehntausende Betroffene pro Bundesstaat ausgewiesen. Zusammengerechnet ergab das laut dem Bericht zunächst etwa 350.000 Personen. Diese Zahlen sind auf den Webseiten der Generalstaatsanwälte zum Zeitpunkt der Veröffentlichung weiterhin so verzeichnet.
Wegen des sprunghaften Anstiegs um etwa das Zehnfache stand zunächst der Verdacht eines Erfassungsfehlers im Raum. Das HHS bestätigte SecurityWeek jedoch, dass die Zahl korrekt sei und den jüngsten Daten entspreche, die der Behörde gemeldet wurden.
Nach Angaben von CareCloud wurde der Einbruch entdeckt, nachdem es eine Störung in einer Umgebung für elektronische Gesundheitsakten gegeben hatte. Die anschließende Untersuchung ergab dem Unternehmen zufolge, dass Bedrohungsakteure zwischen dem 10. und 16. März Zugang zu einer AWS-Umgebung von CareCloud erlangt hatten.
Die Angreifer hätten nach Unternehmensangaben behauptet, Informationen aus Datenbanken in der kompromittierten Umgebung abgezogen zu haben. Zu den betroffenen Daten zählen Namen, Adressen, Sozialversicherungsnummern, Führerscheinnummern, Geburtsdaten, Informationen zur Krankenversicherung sowie medizinische und gesundheitsbezogene Informationen.
Für einen sehr kleinen Teil der Betroffenen erlangten die Angreifer laut CareCloud zudem vollständige Zahlungskartendaten. Wer hinter dem Angriff steckt, ist weiterhin unklar. Keine bekannte cyberkriminelle Gruppe hat die Attacke nach den vorliegenden Informationen öffentlich für sich reklamiert, und CareCloud hat keine Angaben zu den Verantwortlichen gemacht.
Offen ist außerdem, ob das Unternehmen ein Lösegeld zahlte, um eine Veröffentlichung der Daten zu verhindern. Der Bericht nennt dazu keine Bestätigung. Fest steht bislang vor allem das deutlich gewachsene Ausmaß des Vorfalls, wie es der HHS-Tracker nun ausweist.