CareCloud làm rò rỉ 3,75 triệu hồ sơ y tế. Không một ai trong số đó từng đăng ký với CareCloud
Phòng khám của bạn chọn phần mềm thanh toán. Bạn thì không. Và khi hệ thống đó bị xâm nhập hồi tháng Ba, tệp dữ liệu bị lộ ra ngoài có chẩn đoán bệnh của bạn, số an sinh xã hội, cùng thông tin thẻ ngân hàng — kể cả mã CVV ở mặt sau.
CareCloud là công ty chuyên xử lý hóa đơn và hồ sơ cho các phòng khám tại Mỹ. Bệnh nhân chưa bao giờ nhìn thấy công ty này, chưa bao giờ đồng ý điều gì với họ, và phần lớn còn chưa từng nghe tên. Tháng Ba, ai đó đã đột nhập vào hệ thống. Tháng này, công ty xác nhận con số: 3,75 triệu người.
Phần khiến người ta khó chịu nằm ở nội dung bị lộ. Không chỉ tên và email — mà cả hồ sơ bệnh án, số an sinh xã hội, thông tin ngân hàng và thẻ thanh toán, bao gồm cả ba chữ số CVV. Theo Malwarebytes Labs, đơn vị đưa tin xác nhận này, con số công bố ban đầu nhỏ hơn khoảng mười lần. Con số thật chỉ xuất hiện hơn năm tháng sau vụ xâm nhập, trong hồ sơ nộp cho cơ quan quản lý. Vì sao con số đầu tiên lại sai lệch đến vậy, không ai giải thích.
Trước hết hãy phân biệt các thứ nằm trong tệp đó. Số thẻ ngân hàng có thể hủy bỏ. Ngân hàng khóa nó lại, gửi cho bạn thẻ mới, và phần gian lận trở thành việc của kế toán bên khác. Số an sinh xã hội thì không thể hủy. Bệnh sử càng không. Không có quầy nào cấp lại hai thứ này. Đến năm 2031, tệp dữ liệu đó vẫn còn giá trị với ai đó.
Rồi còn một chuyện gần như không ai lường trước: đánh cắp danh tính y tế. Ai đó dùng hồ sơ của bạn để đi khám, xét nghiệm hoặc lấy thuốc, và thông tin của họ — nhóm máu, dị ứng, chẩn đoán — bị ghi chồng vào bệnh án của bạn. Hóa đơn phát sinh chỉ là chuyện nhỏ. Bệnh án bị trộn lẫn mới là chuyện lớn, và thường bạn chỉ phát hiện ra vào lúc tệ nhất.
Thẻ bị đánh cắp làm bạn mất một buổi chiều. Hồ sơ y tế bị đánh cắp thì đi theo bạn cả đời.
Và hãy nhìn vào cấu trúc của chuyện này. Bạn chọn bác sĩ. Bác sĩ chọn nhà cung cấp dịch vụ thanh toán. Nhà cung cấp đó giữ số an sinh xã hội và thông tin thẻ của bạn trong cùng một chỗ, mà chưa ai từng hỏi ý kiến bạn. Ngày mai bạn có thể đổi phòng khám, nhưng bản sao dữ liệu vẫn nằm nguyên ở đó. Đây mới là điều đáng để bực mình — không phải vụ đột nhập, chuyện này xảy ra ở đâu đó mỗi tuần — mà là chuỗi đồng ý của bạn đã dừng lại từ hai công ty trước khi dữ liệu dừng lại.
Bất kỳ ai từng khám ở một phòng khám tại Mỹ có thuê ngoài dịch vụ thanh toán — tức là phần lớn các phòng khám, và bạn không có cách nào chắc chắn biết phòng khám của mình có nằm trong số đó hay không. Đặc biệt là những người ở độ tuổi hai mươi, ba mươi vốn nghĩ mình chẳng có gì để mà bị lấy cắp: một hồ sơ tín dụng sạch, không nợ, không tranh chấp, lại chính là thứ kẻ trộm danh tính thèm muốn nhất, vì chưa có gì ở đó trông đáng ngờ cả. Gian lận mở dưới tên bạn năm 26 tuổi là thứ sẽ hiện ra khi bạn đi vay mua xe năm 30 tuổi. Và một nhóm khác: bất kỳ ai trong vài tuần tới nhận được thư thông báo về vụ rò rỉ này và phân vân có nên bỏ mười phút dùng dịch vụ theo dõi tín dụng miễn phí đi kèm hay không — nên dùng, và việc đóng băng tín dụng, vốn miễn phí, còn đáng làm hơn.
Có hai điều có thể kiểm chứng được. Một, liệu con số 3,75 triệu có đứng yên: các báo cáo rò rỉ nộp cho cơ quan y tế Mỹ thường được chỉnh sửa lại, và con số này đã từng bị điều chỉnh một lần, tăng gấp khoảng mười lần. Nếu nó thay đổi lần nữa, nhiều khả năng sẽ tăng thêm chứ không giảm. Hai, các thư thông báo — khi chúng đến tay bạn, chúng sẽ ghi rõ loại dữ liệu nào của riêng bạn bị lộ, và đó là văn bản duy nhất cho bạn biết số an sinh xã hội của bạn có nằm trong đó hay chỉ có tên bạn thôi. Bất kỳ ai gọi điện cho bạn về vụ rò rỉ này trước khi thư đó đến và yêu cầu bạn xác nhận thông tin cá nhân — người đó không phải từ CareCloud.
Vụ xâm nhập xảy ra vào tháng Ba. Con số chính xác chỉ được công bố vào tháng Tám, và nó đến từ cơ quan quản lý, không phải từ chính công ty. Suốt năm tháng, 3,75 triệu người sống với một cảm nhận sai lệch về mức độ mình bị lộ — phần lớn trong số họ thậm chí chẳng có cảm nhận gì cả, vì họ còn không biết công ty này tồn tại. Vụ đột nhập kéo dài một đêm. Sự im lặng kéo dài cả một mùa.
Nguồn: Malwarebytes Labs, «Medical records, SSNs, and bank details exposed in CareCloud data breach», tháng 8/2026, dẫn theo xác nhận rò rỉ dữ liệu của CareCloud.
Do tòa soạn AI của THE TELL viết. cách chúng tôi làm việc · đính chính