대상: iRhythm Zio 모니터를 착용했거나 iRhythm 환자로 등록된 미국(및 그 밖의 지역) 사람들, 그리고 환자 데이터를 클라우드 업무용 애플리케이션에 보관하는 조직. 이 글은 iRhythm Technologies 자체 안내를 바탕으로 작성되었으며, 공격 수법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 30일 기준아직 알려지지 않음
- 회사 자체의 영향 인원 총계
- 관련된 외부 애플리케이션
- 사회공학이 어떻게 이루어졌는지
- 데이터가 공개되었거나 판매되었는지 여부
- 무료 신용 모니터링이 제공될지 여부
iRhythm은 2026년 10월 2일자 안내에서 영향받은 사람들에게 통지하고 있으며 신분 도용 악용의 증거는 없다고 밝혔습니다. 추가 발표 시점은 밝히지 않았습니다. 제목의 인원 수는 회사 발표가 아니라 언론이 보도한 HHS 등재에서 나온 것입니다.
Zio 환자가 오늘 해야 할 일
예상치 못한 메시지의 링크나 전화번호를 믿지 마세요
이름, 주소, 이메일, 전화번호, 보험 번호, 서비스 일자가 함께 있으면 "Zio 모니터", "미납 잔액", "보험 청구"에 관한 메시지가 진짜처럼 보입니다. 이는 일반적인 추론이며, 그런 메시지가 실제로 발송되었다는 보고는 아닙니다.
메시지가 로그인, 결제, 보험 번호 확인 또는 회신 전화를 요구하면 메시지에 있는 것을 사용하지 마세요. 보험사나 iRhythm 웹사이트를 직접 열거나 보험 카드에 적힌 전화번호를 이용하세요(피싱이란? 참고).
모르는 서비스가 없는지 보험사 명세서를 읽어 보세요
유출된 항목에는 보험 번호가 포함됩니다. 일반적으로 도난당한 보험 번호는 다른 사람 명의로 진료나 장비를 청구하는 데 쓰일 수 있으며, 이를 의료 신분 도용이라고 합니다. iRhythm 안내는 이에 대한 예방 조치를 권고합니다.
보험사 사이트에 로그인해 최근 급여 설명서를 확인하세요. 받지 않은 서비스가 있으면 보험사에 신고하세요.
신용 동결과 사기 경보를 고려하세요
안내는 사기 경보, 보안 동결, 무료 신용 보고서를 언급합니다. 미국에서는 3대 신용평가 기관 각각에 보안 동결을 설정하는 것이 무료이며, 해제할 때까지 당신 명의의 새 신용 개설을 대부분 막아 줍니다.
보도된 안내에는 무료 신용 모니터링이 언급되지 않으므로 제안을 기다리지 말고 행동하세요. 미국 연방거래위원회의 사이트 IdentityTheft.gov에서 절차를 설명합니다.
생년월일과 보험 번호는 오랫동안 쓸 수 있다고 생각하세요
비밀번호와 달리 생년월일은 바꿀 수 없습니다. 보험 번호는 보험사만 변경할 수 있습니다. 명세서와 신용 보고서는 며칠이 아니라 몇 달 동안 계속 지켜보세요.
유출된 항목에는 비밀번호가 나열되어 있지 않습니다. 여러 계정에 같은 비밀번호를 쓰고 있다면 비밀번호 관리자가 여전히 실용적인 해결책입니다.
공식 안내에 나온 연락처만 사용하세요
회사 안내는 미국 동부 시간 월–금 오전 8시–오후 8시(공휴일 제외)에 운영되는 수신자 부담 대응 전화 1-844-770-7175를 제시합니다. 받은 메시지에 있는 번호가 아니라 iRhythm 자체 웹사이트의 안내와 대조하세요.
무슨 일이 있었나요(iRhythm 안내 및 제출 서류 기준)
아래 순서는 2026년 10월 2일자 iRhythm 안내에 따른 것입니다. "보도"로 표시된 항목은 회사의 SEC 제출 서류와 HHS 등재에 대한 언론 보도에서 나온 것입니다.
2026년 6월 3–8일
회사의 포렌식 조사에 따르면 외부에서 호스팅되는 일부 업무용 애플리케이션에서 데이터가 접근 및 다운로드되었습니다.6월 8일
iRhythm이 무단 접근을 감지했고(안내는 "이 날짜 또는 그 즈음"이라고 표현) 사고 대응 계획을 가동했습니다.6월 9일(보도)
CyberInsider와 HIPAA Journal 보도에 따르면 한 당사자가 iRhythm에 연락해 데이터를 가져갔다고 주장하며 대가를 요구했습니다.6월 15일
iRhythm이 SEC에 보고했습니다. 재무에 중대한 영향을 미칠 것으로 예상하지 않는다고 밝혔고, 10월에도 같은 견해를 되풀이했습니다.10월 2일
업데이트된 안내가 게시되었고, 회사가 연락처를 가진 영향받은 사람들에 대한 통지가 시작되었습니다.10월 29일(보도)
SecurityWeek와 CyberInsider는 이번 사고가 HHS 유출 포털에 8,179,772명으로 등재되었다고 보도합니다.
2026년 6월 3–8일
외부에서 호스팅되는 업무용 애플리케이션에서 데이터가 접근 및 다운로드됨(회사)
↓
6월 8일경
iRhythm이 활동을 감지함(회사)
↓
6월 15일
SEC 제출 서류
↓
10월 2일
업데이트된 안내; 영향받은 사람들에 대한 통지 시작(회사)
↓
10월 29일
SecurityWeek와 CyberInsider가 HHS 등재 8,179,772명을 보도(회사 발표 아님)
- 회사
- iRhythm Technologies, Inc.(미국), 착용형 심장 모니터 Zio 제조사
- 데이터가 있던 곳
- 외부에서 호스팅되는 일부 업무용 애플리케이션. 애플리케이션 이름은 밝혀지지 않음
- 유출된 항목
- 환자 이름; 연락처(주소, 이메일 주소, 전화번호); iRhythm 환자 계정 번호; iRhythm 기기 일련번호; 환자 보험 번호; 서비스 일자; 생년월일
- 분류
- 회사는 데이터에 HIPAA에서 정의한 보호 대상 건강 정보가 포함된다고 밝힘
- 저장하지 않음
- 회사는 개인 금융 계좌나 결제 카드 정보를 저장하지 않는다고 밝힘
- 원인
- 안내는 무단 접근이라고 밝힘. 언론은 SEC 제출 서류가 이를 사회공학이라고 불렀다고 보도하나, 안내에는 없음. 세부 사항은 공개되지 않음
- 영향 없음(회사 기준)
- 제품, 임상 또는 의료기기 시스템, 고객 연결, 제조 및 유통, 환자 안전
- 대응
- 사고 대응 계획 가동, 외부 사이버 보안 전문가 투입, 포렌식 조사 완료, 내용을 파악하기 위해 데이터 검토
확인된 내용과 확인되지 않은 내용
2026년 10월 30일 기준 상태입니다. iRhythm이 더 많은 정보를 발표하면 상태 열을 업데이트하겠습니다.
| 항목 | 안내 또는 제출 서류 내용 | 상태 |
|---|---|---|
| 접근 및 다운로드 기간 | 2026년 6월 3일부터 6월 8일 | 확인됨(회사) |
| 감지 | 2026년 6월 8일 또는 그 즈음 | 확인됨(회사) |
| 데이터 항목 | 이름, 연락처, 환자 계정 번호, 기기 일련번호, 보험 번호, 서비스 일자, 생년월일 | 유출 확인됨(회사) |
| 비밀번호 | 나열되지 않음 | 언급 없음 |
| 결제 카드 및 은행 계좌 데이터 | 회사는 저장하지 않는다고 밝힘 | 포함되지 않음(회사) |
| 심장 모니터링 결과 및 의료기기 데이터 | 나열되지 않음; 회사는 임상 또는 의료기기 시스템에 대한 영향이 없다고 밝힘 | 언급 없음(임상 시스템: 영향 발견 안 됨, 회사) |
| 원인 | 안내는 외부에서 호스팅되는 업무용 애플리케이션에 대한 무단 접근이라고 밝힘. "사회공학"은 BleepingComputer 등이 SEC 제출 서류를 설명한 표현이며 안내에는 없음 | 보도됨(안내에는 없음); 세부 사항은 공개되지 않음 |
| 인원 수 | iRhythm은 총계를 발표하지 않음; HHS 등재 8,179,772명은 SecurityWeek와 CyberInsider 보도 | 보도됨(회사 발표 아님) |
| 주별 건수 | 텍사스 298,647명, 사우스캐롤라이나 69,526명(The Record가 보도한 주 신고; 합산하지 않음) | 보도됨 |
| 대가 요구 | 언론 보도에 따르면 한 당사자가 대가를 요구함 | 보도됨 |
| 데이터 공개 또는 판매 | 안내에 언급 없음 | 공개되지 않음 |
| 데이터 악용 | 회사는 신분 도용 악용의 증거는 없다고 밝힘 | 증거 발견 안 됨(회사) |
| 무료 신용 모니터링 | 보도된 안내에 언급 없음 | 언급 없음 |
| 재무적 영향 | 회사는 중대한 재무적 영향이 합리적으로 발생할 가능성은 낮다고 밝힘. 별도로 BleepingComputer는 데이터량 때문에 회사가 6월 10일 이번 사고를 중대하다고 판단했다고 보도 | 회사의 견해; 6월 10일 판단은 보도됨 |
숫자 읽는 법
8,179,772명이라는 수치는 두 매체에 따른 HHS 포털 등재입니다. iRhythm이 직접 총계를 밝힌 것은 확인하지 못했습니다. 텍사스와 사우스캐롤라이나 건수가 훨씬 작은 것은 각 주 신고가 해당 주 거주자만 세기 때문입니다. 주별 수치를 서로 또는 HHS 수치에 더하지 마세요.
이런 데이터 조합은 어디에 쓰일 수 있나요
일반적으로 다음 조합은 아래와 같이 악용될 수 있습니다. 이번 사고에서 그런 일이 있었다는 뜻은 아닙니다.
- 이름 + 보험 번호 + 생년월일: 다른 사람 명의로 진료비를 보험사에 청구하거나(의료 신분 도용) 허술한 본인 확인을 통과하는 데 쓰일 수 있음
- 이름 + 연락처 + 서비스 일자 + 기기 일련번호: "당신의 모니터"나 "최근 서비스"에 관해 제공자나 청구 부서에서 온 것처럼 보이는 메시지를 쓸 수 있게 함
- 생년월일 + 주소: 많은 본인 확인 절차에서 묻는 정보이므로 신용 동결을 고려할 만함
환자 데이터를 클라우드 업무용 애플리케이션에 보관하는 조직을 위해
회사에 따르면 데이터는 외부에서 호스팅되는 업무용 애플리케이션에서 나왔고 감지되기 전 며칠에 걸쳐 다운로드되었습니다. 접근 방법은 "사회공학"을 넘어서는 내용이 공개되지 않았으므로, 이 섹션은 비슷한 구성의 모든 조직이 점검할 수 있는 사항만 다룹니다. iRhythm의 대책은 평가하지 않습니다.
환자 식별자를 보관하는 업무용 애플리케이션과 내보내기 권한자를 정리하세요
환자 이름, 보험 번호, 기기 일련번호는 임상 시스템뿐 아니라 청구, 지원, 일정 도구에도 있을 수 있습니다. 그것을 보관하는 각 애플리케이션과 내보내거나 보고서를 만들 권한이 있는 사람을 목록으로 만드세요. 안내는 여기에 선을 긋습니다. 회사는 임상 및 기기 시스템은 영향을 받지 않았고 업무용 애플리케이션은 영향을 받았다고 밝혔습니다.
대량 내보내기와 다운로드에 경보를 설정하세요
회사는 데이터가 여러 날(6월 3일–6월 8일)에 걸쳐 접근 및 다운로드되었다고 밝혔습니다. 대부분의 업무용 애플리케이션은 대량 내보내기를 로그로 남길 수 있습니다. 계정이 평소 사용량보다 훨씬 많은 기록을 다운로드하면 지정된 담당자에게 경보를 보내고, 언제든 그 계정을 비활성화할 수 있는 사람이 있도록 하세요(배경: 속도 제한과 악용 방지).
접근 권한을 재설정해 주는 사람도 방어의 일부로 보세요
사회공학은 소프트웨어가 아니라 사람과 절차를 노립니다. 직원과 외부 지원 팀이 비밀번호나 다요소 인증 수단을 재설정하기 전에 신원을 어떻게 확인할지 미리 정하고, 그럴듯한 전화 상대에게 넘겨줄 수 없는 패스키 같은 로그인 방식을 우선하세요(다요소 인증 가이드 참고).
이 사이트의 견해: 감지와 통지 사이의 간격도 노출의 일부입니다
회사는 6월에 활동을 감지했고 10월에 사람들에게 통지를 시작했으며 HHS 인원 수는 그보다도 나중에 나타났다고 밝혔습니다. 환자에게는 그동안 자신도 모르는 사이에 정보가 다른 사람 손에 있었던 몇 달입니다. 명세서와 신용 보고서를 오랫동안 지켜보는 것이 합리적인 대응입니다.
출처(공개 자료)
이 글의 사실은 아래 공개 출처를 바탕으로 합니다. 공개되지 않은 방법, 애플리케이션 또는 원인은 추측하지 않았습니다.
- iRhythm Technologies, "Notice of Data Event"(업데이트된 안내, 2026년 10월 2일) — irhythmtech.com
- BleepingComputer, 2026년 6월 15일 iRhythm SEC 제출 서류에 관한 보도(2026년 6월 16일) — bleepingcomputer.com
- SecurityWeek, "HHS Filing Puts iRhythm Data Breach Toll at 8.2 Million"(2026년 10월 29일) — securityweek.com
- CyberInsider, "iRhythm's June data breach has impacted over 8.18 million people"(2026년 10월 29일) — cyberinsider.com
- The Record, 텍사스와 사우스캐롤라이나의 주별 건수(2026년 10월 9일) — therecord.media
- HIPAA Journal, 6월 9일 연락 건에만 사용(2026년 10월 19일) — hipaajournal.com
제목의 인원 수는 위 언론이 보도한 HHS 포털 등재에 근거하며, 포털 항목은 직접 확인하지 않았습니다.
업데이트 기록
2026-10-30: 최초 버전. 2026년 10월 2일자 iRhythm 안내와 SEC 제출 서류 및 HHS 등재(10월 29일)에 대한 언론 보도를 바탕으로 작성했습니다. iRhythm이 총계나 추가 정보를 발표하면 이 글을 업데이트합니다.
다음으로 읽기
- 건강 보험 데이터가 포함된 또 다른 미국 의료 유출: AdaptHealth(약 410만 명)
- 개요: 2026년 미국 의료 데이터 유출
- 유출 이후의 사기: 피싱이란? / 스마트폰 보안 기본
- 2026년 기타 사고: 2026년 데이터 유출 및 사이버 공격