対象：iRhythmの心電計「Zio」を使ったことがある人、同社の患者として登録された人（米国に限りません）、クラウドの業務アプリに患者データを置いている組織。本記事はiRhythm Technologies自身の通知にもとづき、攻撃の手口は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月30日時点まだ分かっていないこと
- 同社自身による総数
- 関係した第三者アプリの範囲
- ソーシャルエンジニアリングの具体的な内容
- データが公開・販売されたか
- 無料のクレジット監視の提供の有無
同社は2026年10月2日の通知で、対象者への通知を進めており、個人情報が悪用された証拠はないとしています。次の発表の時期は書かれていません。見出しの人数は、同社の発表ではなく、報道されたHHS掲載の数字です。
Zioを使った人が今日やること
想定外の連絡のリンクや電話番号を信用しない
氏名、住所、メール、電話番号、保険番号、サービス日がそろうと、「Zioの機器」「未払いの請求」「保険の請求」といった連絡が本物らしく作れます。これは一般的な話で、実際にそうした連絡が届いているという報告ではありません。
ログイン、支払い、保険番号の確認、折り返しを求められたら、連絡の中の情報は使わず、自分で保険会社やiRhythmの公式サイトを開くか、保険カードに書かれた番号に電話してください（フィッシングとは）。
保険会社の明細に、覚えのないサービスがないか見る
持ち出された項目には保険番号があります。一般に、盗まれた保険番号は他人名義で医療や機器の請求をするのに使われることがあり、これを医療ID盗用と呼びます。同社の通知も、この対策を勧めています。
保険会社のサイトで直近の給付明細（EOB）を確認し、受けていないサービスがあれば保険会社に伝えてください。
クレジット凍結と不正警告を検討する
通知には、不正警告、セキュリティ凍結、無料の信用情報レポートが挙げられています。米国では、3つの信用情報機関それぞれでのセキュリティ凍結は無料で、解除するまで、あなた名義の新規与信の多くを止められます。
報道された通知には無料のクレジット監視の案内がないので、案内を待たずに動いてください。手順は米連邦取引委員会（FTC）のIdentityTheft.govに説明があります。
生年月日と保険番号は長く使えてしまうと考える
パスワードと違い、生年月日は変えられません。保険番号を変えられるのは保険会社だけです。明細や信用情報の確認は、数日ではなく数か月続けてください。
漏れた項目にパスワードはありません。パスワードを使い回している人は、パスワード管理ツールで整理するのが現実的です。
公式の通知にある窓口だけを使う
同社の通知には、フリーダイヤル1-844-770-7175（米東部時間の平日8時〜20時、祝日除く）が載っています。届いた連絡に書かれた番号ではなく、iRhythmの公式サイトの通知と照らして使ってください。
何が起きたのか（iRhythmの通知と届出より）
以下は2026年10月2日付の同社の通知にもとづきます。「報道」と付けた項目は、同社のSEC届出とHHS掲載についての報道によるものです。
2026年6月3日〜8日
同社のフォレンジック調査によれば、第三者がホストする特定の業務アプリケーションから、データへのアクセスとダウンロードが行われた。6月8日
同社が不正アクセスを検知（通知では「この日ごろ」）し、インシデント対応計画を発動した。6月9日（報道）
ある者が同社に連絡し、データを取ったと主張して支払いを要求した（CyberInsider、HIPAA Journalの報道）。6月15日
同社が米SECに届け出た。財務への重大な影響は見込まないとし、10月の通知でも同じ見解を示した。10月2日
更新した通知を公開。連絡先を把握している対象者への通知を開始。10月29日（報道）
SecurityWeekとCyberInsiderが、HHSの公表一覧に8,179,772人で掲載されたと報道。
2026年6月3日〜8日
第三者がホストする業務アプリからデータにアクセス・ダウンロード（同社）
↓
6月8日ごろ
同社が検知（同社）
↓
6月15日
SECに届出
↓
10月2日
更新した通知を公開。対象者への通知を開始（同社）
↓
10月29日
HHS掲載の8,179,772人をSecurityWeek・CyberInsiderが報道（同社の発表ではない）
- 組織
- iRhythm Technologies, Inc.（米国）。ウェアラブル心電計「Zio」を提供
- データがあった場所
- 第三者がホストする特定の業務アプリケーション。アプリ名は非公表
- 持ち出された項目
- 患者の氏名、連絡先（住所・メール・電話）、iRhythmの患者アカウント番号、iRhythmの機器シリアル番号、患者の保険番号、サービス日、生年月日
- 区分
- 同社は、HIPAAで定義される保護対象の医療情報（PHI）を含むとしている
- 保存していないもの
- 同社は、個人の金融口座や決済カードの情報は保存していないとしている
- 原因
- 通知の記載は不正アクセス。報道によれば、SEC届出ではソーシャルエンジニアリングと説明しているが、通知本文には記載なし。詳細は非公表
- 影響なし（同社）
- 製品、臨床システム・医療機器、顧客との接続、製造・流通、患者の安全
- 対応
- インシデント対応計画の発動、外部のセキュリティ専門家の起用、フォレンジック調査の完了、データ内容の確認
分かっていること・分かっていないこと
2026年10月30日時点です。同社の続報が出たら状態欄を更新します。
| 項目 | 通知・届出の内容 | 状態 |
|---|---|---|
| アクセスとダウンロードの期間 | 2026年6月3日〜8日 | 確定（同社） |
| 検知 | 2026年6月8日ごろ | 確定（同社） |
| データの項目 | 氏名、連絡先、患者アカウント番号、機器シリアル番号、保険番号、サービス日、生年月日 | 漏えいを確認（同社） |
| パスワード | 記載なし | 記載なし |
| 決済カード・銀行口座の情報 | 保存していないと同社が説明 | 含まれない（同社） |
| 心電計の測定結果・医療機器のデータ | 記載なし。臨床システム・医療機器への影響は確認していないと同社が説明 | 記載なし（臨床システム：影響確認なし、同社） |
| 原因 | 通知の記載は、第三者ホストの業務アプリへの不正アクセス。「ソーシャルエンジニアリング」は、BleepingComputerなどがSEC届出について報じた表現で、通知本文には記載なし | 報道（通知本文には記載なし）。詳細は非公表 |
| 人数 | 同社は総数を公表せず。HHS掲載は8,179,772人（SecurityWeek、CyberInsider） | 報道（同社の発表ではない） |
| 州ごとの人数 | テキサス州298,647人、サウスカロライナ州69,526人（州への届出、The Recordの報道。合算しない） | 報道 |
| 支払いの要求 | ある者が支払いを要求（報道） | 報道 |
| データの公開・販売 | 通知に記載なし | 公表なし |
| 悪用 | 同社は、個人情報が悪用された証拠はないとしている | 確認なし（同社） |
| 無料のクレジット監視 | 報道された通知に記載なし | 記載なし |
| 財務への影響 | 財務への重大な影響は合理的には見込まれないと同社が説明。別に、BleepingComputerは、同社が6月10日に、関係するデータ量を理由に本件を重大（material）と判断したと報じている | 同社の見解。6月10日の判断は報道 |
人数の読み方
8,179,772人は、2社の報道によるHHS掲載の数字です。同社自身が総数を述べたものは確認できていません。テキサス州・サウスカロライナ州の人数が小さいのは、各州への届出がその州の居住者だけを数えるためです。州の数字どうし、またHHSの数字に足さないでください。
漏れた項目の組み合わせで起きうること
一般に、次の組み合わせは以下のように悪用されえます。今回そうなったという意味ではありません。
- 氏名＋保険番号＋生年月日：他人名義で保険に請求する（医療ID盗用）、甘い本人確認を通る
- 氏名＋連絡先＋サービス日＋機器シリアル番号：「あなたの機器」「最近のサービス」を名目にした、提供元や請求窓口を装う連絡が作れる
- 生年月日＋住所：多くの本人確認で聞かれる情報。クレジット凍結を検討する理由
クラウドの業務アプリに患者データを置く組織へ
同社によれば、データは第三者がホストする業務アプリから、検知までの数日間にダウンロードされました。手口は「ソーシャルエンジニアリング」以上は公表されていないため、この節は、似た構成の組織が確認できる点にとどめ、同社の対策の評価はしません。
患者の識別情報を持つ業務アプリと、エクスポートできる人を洗い出す
患者の氏名、保険番号、機器シリアル番号は、臨床システムだけでなく、請求・サポート・スケジュールの各ツールにもあります。それぞれのアプリについて、誰がエクスポートやレポートの権限を持つかを一覧にします。今回の通知は、臨床・機器のシステムは影響なし、業務アプリは対象、と線を引いています。
大量のエクスポートやダウンロードを検知して知らせる
同社は、6月3日から8日の数日間にわたりアクセスとダウンロードがあったとしています。多くの業務アプリは大量エクスポートを記録できます。通常の利用より桁違いに多い件数をダウンロードしたアカウントがあれば担当者に通知し、時間帯を問わずそのアカウントを止められる人を決めておきます（レート制限と不正利用対策）。
当サイトの見立て：検知から通知までの間も、危険にさらされる時間
同社は6月に検知し、10月に通知を始め、HHSの人数が出たのはさらに後です。患者にとっては、自分の情報が他人の手にあることを知らないまま過ごした月日です。明細や信用情報を長く見守ることが現実的な備えになります。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない手口・アプリ・原因は推測していません。
- iRhythm Technologies「Notice of Data Event」（更新した通知、2026年10月2日） — irhythmtech.com
- BleepingComputer（同社の2026年6月15日のSEC届出についての報道、6月16日） — bleepingcomputer.com
- SecurityWeek「HHS Filing Puts iRhythm Data Breach Toll at 8.2 Million」（2026年10月29日） — securityweek.com
- CyberInsider（2026年10月29日） — cyberinsider.com
- The Record（テキサス州・サウスカロライナ州の人数、2026年10月9日） — therecord.media
- HIPAA Journal（6月9日の連絡の点のみ、2026年10月19日） — hipaajournal.com
見出しの人数は、上記の報道によるHHS掲載の数字にもとづきます。当サイトはHHSの掲載ページ自体は確認していません。
更新履歴
2026-10-30：初版。同社の10月2日付の通知と、SEC届出・HHS掲載（10月29日）の報道にもとづく。同社が総数や詳細を発表した時点で更新します。
次に読む
- 健康保険情報が漏れた別の米国の医療機関の事案：AdaptHealth（約410万人）
- 全体像：2026年の米国医療機関の情報漏えい
- 漏えい後の詐欺：フィッシングとは / スマホのセキュリティ基本
- 2026年のその他の事件：2026年の情報漏えい・サイバー攻撃一覧