Violation de données CareCloud : que sont devenus les dossiers médicaux de 350 000 patients ?

L'entreprise de technologie de santé CareCloud, basée dans le New Jersey, a confirmé que des pirates ont accédé à l'une de ses bases de données de dossiers médicaux électroniques pendant au moins six jours — entre le 10 et le 16 mars 2026 — selon une notification déposée par l'entreprise auprès du bureau du procureur général de Californie.

CareCloud gère les bases de données patients de plus de 45 000 cabinets médicaux, hôpitaux et autres établissements de santé aux États-Unis, ce qui en fait l'un des plus grands fournisseurs d'infrastructures technologiques de santé du pays. Ses systèmes contiennent des données médicales et de facturation hautement confidentielles pour des millions de patients.

Des représentants de l'entreprise ont indiqué que des attaquants non identifiés ont affirmé avoir soit supprimé, soit copié des données des bases — une déclaration qui laisse une certaine ambiguïté sur ce que les attaquants ont exactement fait une fois à l'intérieur, une incertitude fréquente dans ce type de divulgation de violation.

Bien que l'incident se soit produit en mars, les lettres de notification aux personnes concernées n'ont commencé à être envoyées qu'en juillet — un calendrier qui reflète les mois généralement consacrés à cerner une enquête et à compiler une liste complète des dossiers concernés dans les violations de données de santé.

Environ 350 000 personnes au total seraient concernées. Les violations de données de santé sont considérées comme particulièrement graves car les informations volées incluent souvent des données très sensibles et durables, comme les numéros de sécurité sociale, les codes de diagnostic, l'historique des ordonnances et les détails d'assurance — des informations qui, contrairement à un numéro de carte de crédit, ne peuvent pas être facilement modifiées.

Les attaquants se seraient introduits dans l'infrastructure de stockage de données de CareCloud, hébergée sur Amazon Web Services. Cela reflète un schéma courant dans les attaques du secteur de la santé, où l'infrastructure cloud des grands fournisseurs technologiques n'est pas elle-même compromise ; les attaquants exploitent plutôt des vulnérabilités au sein d'un compte client.

Aucun groupe de pirates ou gang de rançongiciel connu n'a revendiqué l'attaque à ce jour, ce qui distingue cet incident de certaines attaques par rançongiciel très médiatisées où la responsabilité est annoncée publiquement de manière quasi systématique.

Il ne s'agit pas d'un incident isolé pour CareCloud. Fin mars, l'entreprise avait déjà divulgué un événement d'accès aux données distinct lié à la même violation, ce qui indique que le calendrier et l'étendue complète de l'incident se sont précisés progressivement au fil de mois d'enquête.

Les experts en cybersécurité notent que les fournisseurs d'infrastructures de données de santé sont devenus suffisamment centralisés pour qu'une seule violation puisse toucher simultanément des milliers d'organisations de santé et des millions de patients. Cette concentration offre aux attaquants un gain de données important à partir d'une seule cible, tout en élargissant considérablement le rayon d'impact de toute vulnérabilité côté défense.

Les personnes concernées se voient proposer des services de surveillance contre le vol d'identité, et les experts en sécurité recommandent à toute personne recevant une lettre de notification de surveiller étroitement ses rapports de crédit et de rester vigilante face au vol d'identité médicale, les informations médicales volées pouvant également être détournées pour des demandes d'assurance frauduleuses ou des fraudes à l'ordonnance.