CareCloud : 3,75 millions de patients touchés par une fuite

Une intrusion détectée le 16 mars, mais commencée plus tôt

L'incident a été détecté le 16 mars 2026, lorsqu'une interruption temporaire du réseau a affecté la division CareCloud Health. D'après les éléments rapportés par CareCloud dans ses notifications et repris par HIPAA Journal, un tiers non autorisé a accédé à l'environnement concerné entre le 10 et le 16 mars. Cet environnement était hébergé sur Amazon Web Services.

CareCloud exploite plusieurs environnements de dossiers médicaux électroniques. L'entreprise a indiqué que l'incident concernait l'un d'eux et que les autres systèmes n'avaient pas été identifiés comme compromis. L'accès aux données et certaines fonctions ont été perturbés pendant environ huit heures le 16 mars, avant un rétablissement le soir même.

Le point important est la différence entre la perturbation visible et la période d'accès ensuite établie par l'enquête. Une coupure de service de quelques heures peut révéler une présence plus longue dans l'infrastructure. Ici, les sources ouvertes parlent de six jours d'accès non autorisé, pas seulement de l'incident technique constaté le 16 mars.

Le bilan est passé de centaines de milliers à plus de 3,75 millions

Les premières notifications adressées à des autorités d'États américains, au début de l'été, comptabilisaient environ 345 000 personnes. Ce n'était pas le bilan complet : ces déclarations suivent les règles de chaque État et ne couvrent pas nécessairement toutes les personnes affectées.

Le bilan actuel publié dans le portail de l'Office for Civil Rights du département américain de la Santé est de 3 756 469 personnes. HIPAA Journal rapporte que ce nombre a d'abord été inscrit à 3 371 508 avant d'être révisé. ZATAZ indique également que CareCloud a confirmé ce nouveau total, très supérieur aux décomptes initiaux.

Ce changement d'échelle ne prouve pas une seconde intrusion. Il reflète, selon les informations disponibles, l'identification progressive des personnes dont les données figuraient dans l'environnement concerné. C'est une distinction utile : un premier chiffre annoncé dans les jours qui suivent une fuite peut être incomplet.

Des données difficiles, parfois impossibles, à remplacer

La liste exacte varie selon les patients. CareCloud a confirmé la présence possible de noms, adresses, dates de naissance, numéros de sécurité sociale américains, numéros de permis ou autres pièces d'identité, données bancaires et de cartes de paiement, informations d'assurance santé et données médicales.

Cette combinaison augmente le risque d'arnaques ciblées et d'usurpation d'identité. Un escroc qui dispose à la fois d'un nom, d'une date de naissance, d'une adresse et d'informations de santé peut rendre un faux appel ou un faux remboursement beaucoup plus crédible. Contrairement à un mot de passe, une date de naissance, un historique médical ou un numéro d'identité ne se changent pas facilement.

Les sources consultées ne signalent pas la fuite de mots de passe de patients. Changer un mot de passe CareCloud n'est donc pas le réflexe principal présenté par les faits disponibles. Le risque le plus directement lié aux données exposées est qu'un contact connaisse déjà des informations personnelles et les utilise pour se faire passer pour un organisme de santé, une assurance ou une banque.

Ce que CareCloud dit avoir fait depuis l'incident

CareCloud indique avoir fait intervenir des spécialistes externes, prévenu les autorités compétentes et poursuivi l'analyse des données. L'entreprise affirme ne pas avoir identifié de nouvel accès non autorisé depuis le 16 mars dans l'environnement AWS visé ou dans ses autres systèmes.

Les notifications individuelles ont commencé à être adressées aux personnes concernées. Selon HIPAA Journal, certaines personnes se voient proposer jusqu'à vingt-quatre mois de service de protection contre le vol d'identité lorsque la loi de leur État l'impose. Cette aide ne dispense pas de vérifier soi-même tout message inattendu.

CareCloud fournit des outils de dossiers médicaux électroniques, de facturation et de gestion de cabinets à des professionnels de santé. L'incident peut donc concerner des patients qui n'ont jamais créé de compte directement auprès de l'entreprise. Leur premier point de contact peut être un cabinet ou un établissement de soins utilisant ses services.

Le réflexe : ne donnez rien à un appelant qui connaît déjà votre dossier

Si vous recevez un appel, un SMS ou un courriel au sujet d'une facture médicale, d'un remboursement ou d'une prétendue fuite, ne considérez pas les détails personnels donnés par votre interlocuteur comme une preuve. Justement, ce sont ces détails qui peuvent avoir circulé.

Ne communiquez ni numéro de carte, ni code reçu par SMS, ni copie de pièce d'identité en réponse à un contact non sollicité. Raccrochez, puis rappelez votre cabinet, votre assureur ou votre banque avec le numéro trouvé sur vos propres documents ou sur leur site officiel. Pour un résident américain concerné, surveiller les courriers de notification et ses relevés financiers est plus utile que cliquer sur un lien reçu dans l'urgence.

Ce réflexe vaut aussi hors des États-Unis : les données de santé, d'identité et de paiement alimentent les mêmes scénarios de faux organismes et de faux conseillers. Un interlocuteur qui connaît votre situation n'est pas nécessairement légitime.

Ce que nous ne pouvons pas vérifier

Les sources ouvertes ne permettent pas d'établir publiquement la méthode exacte ayant permis l'accès au compte cloud concerné. Elles ne détaillent pas non plus, personne par personne, quelles catégories de données ont été vues ou exfiltrées. CareCloud indique que ces catégories varient selon les notifications individuelles.

Nous ne pouvons pas confirmer de manière indépendante l'identité de l'auteur de l'intrusion ni les motivations de l'attaque. Aucun groupe n'est publiquement présenté comme responsable dans les sources consultées. Enfin, nous n'avons pas pu ouvrir directement le portail fédéral américain mentionné par les sources, qui refusait l'accès automatisé : le total de 3 756 469 est rapporté ici avec son attribution à ce registre et à CareCloud.

Sources : HIPAA Journal ↗ · ZATAZ ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.