CareCloud hat den Vorfall in Dokumenten an das Department of Health and Human Services offengelegt. Daraus geht hervor, dass 3.756.469 Menschen von dem Datenabfluss betroffen sind. Das Unternehmen erklärte zudem in Benachrichtigungsschreiben, die in mehreren Bundesstaaten eingereicht wurden, dass ein Hacker Zugang zu einer AWS-Umgebung des Unternehmens hatte und Daten abziehen konnte.

Nach Darstellung von CareCloud bestand der Zugriff vom 10. bis 16. März. In den Unterlagen an die Behörden heißt es zugleich, dass sich der Angreifer insgesamt acht Stunden lang in einer der Umgebungen für elektronische Patientenakten des Unternehmens aufhielt. Welche konkreten Systeme darüber hinaus betroffen waren, geht aus dem Quelltext nicht hervor.

Zu den abgeflossenen Informationen zählen laut CareCloud persönliche Daten, Sozialversicherungsnummern, Ausweisnummern, Kredit- und Debitkarteninformationen sowie medizinische Informationen und Versicherungsdaten. Damit umfasst das Leck sowohl klassische Identitätsdaten als auch besonders sensible Gesundheitsinformationen.

Zunächst meldete CareCloud den Angriff nach eigenen Angaben den Strafverfolgungsbehörden. Bis zum 24. März entschied sich das Unternehmen dann, auch die Securities and Exchange Commission zu informieren, und begründete das „angesichts der Sensibilität der potenziell betroffenen Informationen und der möglichen Folgen des Vorfalls“.

Von den insgesamt 3,7 Millionen Betroffenen entfallen laut den eingereichten Meldungen mehr als 270.000 auf Texas, 23.000 auf South Carolina und fast 58.000 auf Oregon. New Hampshire, Massachusetts und Kalifornien gaben demnach nicht an, wie viele Einwohner jeweils betroffen sind.

CareCloud ist ein großer Anbieter von Technologie und Software für Krankenhäuser und medizinische Praxen. Das Unternehmen bietet Systeme für elektronische Patientenakten sowie digitale Produkte für Abrechnung und Geschäftsprozesse an und bedient nach eigenen Angaben mehr als 45.000 Leistungserbringer. Im vergangenen Geschäftsjahr meldete CareCloud einen Umsatz von 120,5 Millionen US-Dollar.

Zu dem Vorfall bekannte sich keine Hackergruppe. Im Markt für elektronische Patientenakten sind größere Anbieter laut Quelltext im vergangenen Jahr wiederholt angegriffen worden, darunter auch ein Unternehmen, das mehr als 2.000 Krankenhäuser in den USA betreut.