医疗IT供应商CareCloud确认AWS环境入侵影响375万患者：HHS备案规模修正11倍

时间线显示：2026年3月10日至16日，未授权方访问CareCloud的AWS环境，入侵约8小时后于3月16日被检测到；公司3月24日认定事件重大并于3月27日向SEC提交8-K，6月24日确认受影响数据类型，8月3日启动患者通知。

最初通知覆盖约34.5万人，但8月18日美国卫生与公众服务部（HHS）民权办公室泄露门户备案显示受影响人数修正为3,756,469人，两周内规模扩大11倍，暴露了事件影响范围识别的复杂性与监管披露的滞后风险。

泄露数据包括姓名、地址、出生日期、社保号、政府身份证件号、金融账户和支付卡信息、健康保险信息及医疗数据，足以支撑身份盗窃和保险欺诈。尚无勒索组织公开认领，但有威胁行为者声称已获取数据，暗示事件或为数据敲诈而非单纯加密。

CareCloud表示已投保足够的网络保险用于补救，并将在州法律要求的情况下提供最长24个月的防身份盗窃保护。该事件为医疗机构的第三方供应商风险管理敲响警钟：HHS通报规则下，业务关联方与医疗机构均负有通知义务。