CareCloud云医疗平台遭入侵致34.5万患者数据泄露：AWS托管EHR环境被突破，SSN与完整信用卡信息外泄且通报延迟逾四个月

根据公司向多州总检察长办公室提交的监管备案，攻击者于2026年3月10日至16日期间访问了CareCloud Health部门的AWS环境，并声称从该环境内的数据库窃取了数据。涉密字段涵盖姓名、住址、出生日期、社会安全号码、驾照及护照号码、银行账户信息、支付卡号(有限子集含完整CVV码)，以及药物、过敏史、保险成员号等医疗健康信息，属于身份信息、财务数据与受保护健康信息的最高严重度组合。

事件时间线引发严重合规质疑：CareCloud于3月16日发现入侵并中断访问，3月27日向监管机构报告，6月24日法务审查确认数据确受影响，直至7月底才向受影响个人寄送通知函，从发现到个人通报间隔逾四个月，明显超出HIPAA隐私规则要求的不合理延迟后60日内通知的法定时限。公司未在通知中援引执法暂停等正当延迟理由，该延迟本身或将成为监管处罚与后续诉讼的加重情节。

该事件凸显医疗云服务商的安全责任：作为业务伙伴，CareCloud集中存储大量跨机构患者数据，单一入侵即可波及众多提供商的患者群体。公司已为受影响个人提供24个月身份盗窃保护与信用监控服务，并强调正持续加固系统安全。事件同时警示医疗机构与云服务商，在共享责任模型下，权限最小化、异常外联检测、数据落盘加密与及时通报机制缺一不可，任何环节的疏漏都可能导致大规模敏感数据泄露及高昂的合规成本。