CareCloud hatte nach dem Vorfall eine Untersuchung eingeleitet, um Umfang und Auswirkungen des Angriffs zu bestimmen. In einem Bericht an das U.S. Department of Health and Human Services beziffert das Unternehmen die Zahl der Betroffenen nun auf 3.756.469.
Seit dem 25. Juli verschickt CareCloud Benachrichtigungen über die Datenschutzverletzung und nennt darin weitere Erkenntnisse aus der Untersuchung. Laut diesem Schreiben stellte die Untersuchung fest, dass zwischen dem 10. März und dem 16. März 2026 ein unbefugter Dritter auf eine AWS-Umgebung von CareCloud zugegriffen habe und behauptet habe, Daten aus Datenbanken innerhalb dieser Umgebung exfiltriert zu haben.
Welche Daten im Einzelnen betroffen sind, geht aus dem mit den Behörden geteilten Musterschreiben nur teilweise hervor. Demnach waren vollständige Namen betroffen; welche weiteren Datentypen offengelegt wurden, wird dort nicht präzisiert.
Empfänger der Benachrichtigung erhalten je nach Fall eine 12- oder 24-monatige Absicherung durch einen Identitätsschutzdienst von IDX. Das Angebot kann bis zum 17. Dezember 2026 eingelöst werden.
CareCloud weist außerdem darauf hin, dass das Unternehmen keine direkte Beziehung zu Patienten unterhält. Für viele Betroffene dürfte der Name CareCloud deshalb zum ersten Mal im Zusammenhang mit dieser Meldung auftauchen.
Zum Zeitpunkt der Veröffentlichung hatte keine Ransomware-Gruppe und keine auf Datenerpressung spezialisierte Gruppe die Verantwortung für den Angriff auf CareCloud übernommen. BleepingComputer teilte zudem mit, CareCloud mit Fragen zum Vorfall und zu den Ergebnissen der Untersuchung kontaktiert zu haben; der Bericht solle bei einer Antwort aktualisiert werden.