Para: pessoas nos Estados Unidos (e em qualquer outro lugar) que usaram um monitor iRhythm Zio ou foram cadastradas como pacientes da iRhythm, e organizações que guardam dados de pacientes em aplicativos de negócios na nuvem. Este artigo se baseia no próprio aviso da iRhythm Technologies e não aborda técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 30 de outubro de 2026Ainda não se sabe
- Número total de pessoas afetadas, informado pela própria empresa
- Quais aplicativos de terceiros estavam envolvidos
- Como funcionou a engenharia social
- Se algum dado foi publicado ou vendido
- Se será oferecido monitoramento de crédito gratuito
Em seu aviso de 2 de outubro de 2026, a iRhythm diz que está avisando as pessoas afetadas e que não tem provas de uso indevido para roubo de identidade. Não diz quando publicará mais. O número da manchete vem da lista do HHS segundo a imprensa, não de uma declaração da empresa.
O que os pacientes do Zio devem fazer hoje
Não confie em links nem em números de mensagens inesperadas
Nomes, endereços, e-mails, telefones, números de seguro e datas de serviço juntos fazem uma mensagem sobre “seu monitor Zio”, “um saldo em aberto” ou “um pedido de reembolso ao seguro” parecer real. Isso é um raciocínio geral, não um relato de que essas mensagens tenham sido enviadas.
Se uma mensagem pedir que você faça login, pague, confirme seu número do seguro ou retorne a ligação, não use o que está na mensagem. Abra você mesmo o site da sua operadora ou da iRhythm, ou use o telefone do seu cartão do seguro (veja O que é phishing?).
Leia os extratos da sua operadora em busca de serviços que você não reconheça
Os itens vazados incluem um número de seguro. Em geral, um número de seguro roubado pode ser usado para cobrar atendimento ou equipamentos em nome de outra pessoa, o que se chama roubo de identidade médica. O aviso da iRhythm recomenda precauções contra isso.
Entre no site da sua operadora e veja os extratos recentes de explicação de benefícios. Informe à operadora qualquer serviço que você não recebeu.
Considere um congelamento de crédito e um alerta de fraude
O aviso menciona alertas de fraude, congelamentos de segurança e relatórios de crédito gratuitos. Nos EUA, um congelamento de segurança em cada um dos três bureaus de crédito é gratuito e impede a maior parte da abertura de novo crédito em seu nome até que você o retire.
O aviso, conforme noticiado, não menciona monitoramento de crédito gratuito, então não espere uma oferta para agir. O site IdentityTheft.gov da Comissão Federal de Comércio dos EUA explica os passos.
Conte com que sua data de nascimento e seu número do seguro continuem utilizáveis por muito tempo
Diferentemente de uma senha, uma data de nascimento não pode ser trocada. Um número de seguro só pode ser trocado pela operadora. Continue acompanhando extratos e relatórios de crédito por meses, não dias.
Nenhuma senha consta dos itens vazados. Se você reutiliza senhas em várias contas, um gerenciador de senhas continua sendo a solução prática.
Use apenas os pontos de contato do aviso oficial
O aviso da empresa traz uma linha de atendimento gratuita, 1-844-770-7175, aberta das 8h às 20h, horário do Leste, de segunda a sexta, exceto feriados. Confira-a com o aviso no próprio site da iRhythm, não com um número de uma mensagem que você recebeu.
O que aconteceu (segundo o aviso e o documento da iRhythm)
A sequência abaixo vem do aviso da iRhythm de 2 de outubro de 2026. Os itens marcados como “segundo a imprensa” vêm da cobertura jornalística do documento enviado à SEC e da lista do HHS.
3–8 de junho de 2026
Segundo a investigação forense da empresa, dados de certos aplicativos de negócios hospedados por terceiros foram acessados e baixados.8 de junho
A iRhythm detectou o acesso não autorizado (o aviso diz “por volta” dessa data) e ativou seu plano de resposta a incidentes.9 de junho (segundo a imprensa)
Uma parte entrou em contato com a iRhythm, disse ter levado dados e exigiu pagamento, segundo CyberInsider e HIPAA Journal.15 de junho
A iRhythm informou a SEC. Disse que não esperava impacto material em suas finanças e repetiu essa avaliação em outubro.2 de outubro
Aviso atualizado publicado; começou a notificação das pessoas afetadas de quem a empresa tem dados de contato.29 de outubro (segundo a imprensa)
SecurityWeek e CyberInsider relatam que o incidente consta do portal de vazamentos do HHS com 8.179.772 pessoas.
3–8 de junho de 2026
Dados de aplicativos de negócios hospedados por terceiros são acessados e baixados (empresa)
↓
Por volta de 8 de junho
A iRhythm detecta a atividade (empresa)
↓
15 de junho
Documento enviado à SEC
↓
2 de outubro
Aviso atualizado; começa a notificação das pessoas afetadas (empresa)
↓
29 de outubro
Lista do HHS de 8.179.772 pessoas, noticiada por SecurityWeek e CyberInsider (não é declaração da empresa)
- Empresa
- iRhythm Technologies, Inc. (EUA), fabricante do monitor cardíaco vestível Zio
- Onde estavam os dados
- Certos aplicativos de negócios hospedados por terceiros. Os aplicativos não são nomeados
- Itens levados
- Nome do paciente; informações de contato (endereço, e-mail, telefone); número da conta de paciente da iRhythm; número de série do dispositivo da iRhythm; número do seguro do paciente; data do serviço; data de nascimento
- Classificação
- A empresa diz que os dados incluem informações de saúde protegidas, conforme definido pela HIPAA
- Não armazenado
- A empresa diz que não armazena informações de contas financeiras individuais nem de cartões de pagamento
- Causa
- O aviso fala em acesso não autorizado. A imprensa relata que o documento enviado à SEC o chamou de engenharia social, o que não consta do aviso. Detalhes não divulgados
- Não afetado, segundo a empresa
- Produtos, sistemas clínicos ou de dispositivos médicos, conexões com clientes, fabricação e distribuição, segurança dos pacientes
- Resposta
- Plano de resposta a incidentes ativado, profissionais externos de segurança cibernética contratados, investigação forense concluída, dados revisados para determinar o conteúdo
O que se sabe e o que não se sabe
Situação em 30 de outubro de 2026. Quando a iRhythm publicar mais, atualizaremos a coluna de situação.
| Item | O que o aviso ou o documento diz | Situação |
|---|---|---|
| Período de acesso e download | De 3 a 8 de junho de 2026 | Confirmado (empresa) |
| Detecção | Por volta de 8 de junho de 2026 | Confirmado (empresa) |
| Itens de dados | Nome, informações de contato, número da conta de paciente, número de série do dispositivo, número do seguro, data do serviço, data de nascimento | Vazamento confirmado (empresa) |
| Senhas | Não constam | Não mencionado |
| Dados de cartão de pagamento e conta bancária | A empresa diz que não os armazena | Não incluídos (empresa) |
| Resultados de monitoramento cardíaco e dados de dispositivos médicos | Não constam; a empresa diz que não há impacto nos sistemas clínicos nem de dispositivos médicos | Não mencionado (sistemas clínicos: sem impacto encontrado, empresa) |
| Causa | O aviso fala em acesso não autorizado a aplicativos de negócios hospedados por terceiros. “Engenharia social” é como BleepingComputer e outros veículos descrevem o documento enviado à SEC; não consta do aviso | Noticiado (não consta do aviso); detalhes não divulgados |
| Número de pessoas | A iRhythm não divulgou um total; lista do HHS de 8.179.772 segundo SecurityWeek e CyberInsider | Noticiado (não vem da empresa) |
| Números por estado | 298.647 no Texas e 69.526 na Carolina do Sul (registros estaduais segundo The Record; não somados) | Noticiado |
| Exigência de pagamento | Uma parte exigiu pagamento, segundo reportagens | Noticiado |
| Publicação ou venda dos dados | Não mencionado no aviso | Não divulgado |
| Uso indevido dos dados | A empresa diz que não há provas de uso indevido para roubo de identidade | Nenhuma prova encontrada (empresa) |
| Monitoramento de crédito gratuito | Não mencionado no aviso, conforme noticiado | Não mencionado |
| Impacto financeiro | A empresa diz que um impacto financeiro material não é razoavelmente provável. Separadamente, a BleepingComputer relata que a empresa determinou em 10 de junho que o incidente era material pelo volume de dados envolvido | Avaliação da empresa; determinação de 10 de junho noticiada |
Como ler os números
O número de 8.179.772 é a lista do portal do HHS segundo dois veículos. Não vimos a iRhythm declarar um total por conta própria. Os números do Texas e da Carolina do Sul são bem menores porque cada registro estadual conta apenas os residentes daquele estado. Não some os números estaduais entre si nem ao do HHS.
Para que essas combinações de dados podem ser usadas
Em geral, as combinações abaixo podem ser mal utilizadas como descrito. Isso não significa que tenha acontecido neste caso.
- Nome + número do seguro + data de nascimento: pode servir para cobrar de uma operadora atendimento em nome de outra pessoa (roubo de identidade médica) ou para passar por uma verificação de identidade fraca
- Nome + contatos + data do serviço + número de série do dispositivo: permite escrever uma mensagem sobre “seu monitor” ou “seu serviço recente” que parece vir do prestador ou de um setor de cobrança
- Data de nascimento + endereço: dados que muitas verificações de identidade pedem, razão pela qual vale considerar um congelamento de crédito
Para organizações que guardam dados de pacientes em aplicativos de negócios na nuvem
Segundo a empresa, os dados vieram de aplicativos de negócios hospedados por terceiros e foram baixados ao longo de vários dias antes de serem detectados. Como o acesso foi obtido não foi divulgado além de “engenharia social”, então esta seção se limita a pontos que qualquer organização com uma configuração semelhante pode revisar. Não avaliamos as medidas da iRhythm.
Liste quais aplicativos de negócios guardam identificadores de pacientes e quem pode exportá-los
Nomes de pacientes, números de seguro e números de série de dispositivos podem estar em ferramentas de cobrança, suporte e agendamento, não só no sistema clínico. Liste cada aplicativo que os guarda e quem tem direito de exportá-los ou de gerar relatórios com eles. O aviso traça aqui uma linha: a empresa diz que os sistemas clínicos e de dispositivos não foram afetados, enquanto os aplicativos de negócios foram.
Configure alertas para exportações e downloads grandes
A empresa diz que os dados foram acessados e baixados ao longo de vários dias (de 3 a 8 de junho). A maioria dos aplicativos de negócios consegue registrar exportações em massa. Envie um alerta a uma pessoa designada quando uma conta baixar muito mais registros do que o normal em seu uso, e garanta que alguém possa desativar essa conta a qualquer hora (contexto: Limitação de taxa e controle de abusos).
Trate quem redefine acessos como parte da defesa
A engenharia social visa pessoas e processos, não software. Decida com antecedência como a equipe e as equipes de suporte externas verificam a identidade antes de redefinir uma senha ou um método multifator, e prefira métodos de login que não possam ser entregues a quem liga com um discurso convincente, como as passkeys (veja o guia de autenticação multifator).
Avaliação deste site: o intervalo entre a detecção e o aviso faz parte da exposição
A empresa diz que detectou a atividade em junho e começou a avisar as pessoas em outubro, e que o número do HHS apareceu ainda depois. Para os pacientes, são meses em que seus dados estiveram nas mãos de outra pessoa sem que soubessem. Acompanhar extratos e relatórios de crédito por um longo período é a resposta sensata.
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Não se especula sobre métodos, aplicativos ou causas não divulgados.
- iRhythm Technologies, “Notice of Data Event” (aviso atualizado, 2 de outubro de 2026, em inglês) — irhythmtech.com
- BleepingComputer sobre o documento da iRhythm enviado à SEC em 15 de junho de 2026 (16 de junho de 2026, em inglês) — bleepingcomputer.com
- SecurityWeek, “HHS Filing Puts iRhythm Data Breach Toll at 8.2 Million” (29 de outubro de 2026, em inglês) — securityweek.com
- CyberInsider, “iRhythm's June data breach has impacted over 8.18 million people” (29 de outubro de 2026, em inglês) — cyberinsider.com
- The Record, números estaduais do Texas e da Carolina do Sul (9 de outubro de 2026, em inglês) — therecord.media
- HIPAA Journal, usado apenas para o contato de 9 de junho (19 de outubro de 2026, em inglês) — hipaajournal.com
O número da manchete se apoia nas reportagens acima sobre a lista do portal do HHS; nós mesmos não lemos a entrada do portal.
Histórico de atualizações
2026-10-30: Primeira versão, com base no aviso da iRhythm de 2 de outubro e em reportagens sobre o documento enviado à SEC e a lista do HHS (29 de outubro). Atualizaremos este artigo quando a iRhythm divulgar um total ou mais detalhes.
Leia a seguir
- Outro vazamento de saúde nos EUA com dados de seguro-saúde: AdaptHealth (cerca de 4,1 milhões de pessoas) (em inglês)
- Panorama: Vazamentos de dados de saúde nos EUA em 2026 (em inglês)
- Golpes após um vazamento: O que é phishing? / Noções básicas de segurança do smartphone
- Um caso com um marketplace de planos de saúde: Covered California (dados de agentes, phishing)
- Outros incidentes de 2026: Vazamentos de dados e ataques cibernéticos em 2026 (em inglês)