Для кого: людей в США (и не только), которые носили монитор iRhythm Zio или были зарегистрированы как пациенты iRhythm, и организаций, которые хранят данные пациентов в облачных бизнес-приложениях. Статья основана на собственном уведомлении iRhythm Technologies и не затрагивает методы атаки.
В развитии: статья будет обновляться по мере публикации новых данных организацией
По состоянию на 30 октября 2026 годаПока неизвестно
- Общее число затронутых людей от самой компании
- Какие сторонние приложения были затронуты
- Как действовала социальная инженерия
- Были ли данные опубликованы или проданы
- Будет ли предложен бесплатный кредитный мониторинг
В уведомлении от 2 октября 2026 года iRhythm сообщает, что уведомляет затронутых людей и что у неё нет доказательств использования данных для кражи личности. Когда будут новые сведения, компания не говорит. Цифра в заголовке взята из списка HHS по сообщениям прессы, а не из заявления компании.
Что нужно сделать пациентам Zio сегодня
Не доверяйте ссылкам и номерам телефонов в неожиданных сообщениях
Имена, адреса, email, телефоны, номера страховок и даты услуг вместе делают сообщение о «вашем мониторе Zio», «неоплаченном счёте» или «страховом требовании» похожим на настоящее. Это общее рассуждение, а не сообщение о том, что такие сообщения рассылались.
Если сообщение просит войти в систему, оплатить, подтвердить номер страховки или перезвонить, не пользуйтесь ничем из сообщения. Откройте сайт страховой или iRhythm самостоятельно либо позвоните по номеру на страховой карте (см. Что такое фишинг?).
Читайте выписки страховой на предмет услуг, которых вы не узнаёте
Среди утёкших данных есть номер страховки. В целом украденный номер страховки можно использовать, чтобы выставлять счета за лечение или оборудование на чужое имя; это называется кражей медицинской личности. Уведомление iRhythm рекомендует меры предосторожности против этого.
Войдите на сайт страховой и просмотрите последние выписки explanation of benefits. О любой услуге, которую вы не получали, сообщите страховой.
Рассмотрите заморозку кредита и предупреждение о мошенничестве
В уведомлении упоминаются предупреждения о мошенничестве, заморозка безопасности и бесплатные кредитные отчёты. В США заморозка безопасности в каждом из трёх кредитных бюро бесплатна и до её снятия не даёт открыть на ваше имя большинство новых кредитов.
В уведомлении, как о нём сообщается, бесплатный кредитный мониторинг не упоминается, поэтому не ждите предложения, прежде чем действовать. Сайт Федеральной торговой комиссии США IdentityTheft.gov объясняет шаги.
Помните, что дата рождения и номер страховки долго будут пригодны для использования
В отличие от пароля, дату рождения изменить нельзя. Номер страховки может изменить только страховая. Следите за выписками и кредитными отчётами месяцами, а не днями.
Пароли среди утёкших данных не перечислены. Если вы используете один и тот же пароль в разных учётных записях, практичным решением по-прежнему остаётся менеджер паролей.
Пользуйтесь только контактами из официального уведомления
В уведомлении компании указана бесплатная линия реагирования 1-844-770-7175, работающая с 8:00 до 20:00 по восточному времени с понедельника по пятницу, кроме праздников. Сверяйте номер с уведомлением на сайте самой iRhythm, а не с номером из полученного сообщения.
Что произошло (из уведомления и документа iRhythm)
Последовательность ниже взята из уведомления iRhythm от 2 октября 2026 года. Пункты с пометкой «сообщается» взяты из публикаций прессы о документе компании для SEC и о списке HHS.
3–8 июня 2026
По данным судебно-технической экспертизы компании, данные были просмотрены и скачаны из некоторых бизнес-приложений, размещённых у третьей стороны.8 июня
iRhythm обнаружила несанкционированный доступ (в уведомлении сказано «в этот день или около него») и запустила план реагирования на инциденты.9 июня (сообщается)
Как сообщают CyberInsider и HIPAA Journal, с iRhythm связалась одна сторона, заявила, что забрала данные, и потребовала оплату.15 июня
iRhythm сообщила SEC. Компания заявила, что не ожидает существенного влияния на свои финансы, и повторила эту оценку в октябре.2 октября
Опубликовано обновлённое уведомление; началась рассылка уведомлений затронутым людям, чьи контактные данные есть у компании.29 октября (сообщается)
SecurityWeek и CyberInsider сообщают, что инцидент указан на портале HHS с 8 179 772 людьми.
3–8 июня 2026
Данные просмотрены и скачаны из бизнес-приложений, размещённых у третьей стороны (компания)
↓
Около 8 июня
iRhythm обнаруживает активность (компания)
↓
15 июня
Документ для SEC
↓
2 октября
Обновлённое уведомление; начинается уведомление затронутых людей (компания)
↓
29 октября
SecurityWeek и CyberInsider сообщают о записи в списке HHS: 8 179 772 человека (не заявление компании)
- Компания
- iRhythm Technologies, Inc. (США), производитель носимого кардиомонитора Zio
- Где находились данные
- Некоторые бизнес-приложения, размещённые у третьей стороны. Приложения не названы
- Похищенные данные
- Имя пациента; контактная информация (адрес, email, телефон); номер учётной записи пациента iRhythm; серийный номер устройства iRhythm; номер страховки пациента; дата услуги; дата рождения
- Классификация
- Компания говорит, что данные включают защищённую медицинскую информацию в значении HIPAA
- Не хранится
- Компания говорит, что не хранит данные индивидуальных финансовых счетов и платёжных карт
- Причина
- В уведомлении сказано о несанкционированном доступе. Пресса сообщает, что в документе для SEC он назван социальной инженерией, чего в уведомлении нет. Детали не раскрыты
- Не затронуто, по данным компании
- Продукты, клинические системы и системы медицинских устройств, подключения клиентов, производство и распространение, безопасность пациентов
- Реагирование
- Запущен план реагирования на инциденты, привлечены внешние специалисты по кибербезопасности, судебно-техническое расследование завершено, данные проанализированы для определения содержимого
Что известно и чего пока нет
Состояние на 30 октября 2026 года. Когда iRhythm опубликует новое, мы обновим столбец статуса.
| Пункт | Что говорится в уведомлении или документе | Статус |
|---|---|---|
| Период доступа и скачивания | С 3 по 8 июня 2026 года | Подтверждено (компания) |
| Обнаружение | В этот день или около 8 июня 2026 года | Подтверждено (компания) |
| Данные | Имя, контактная информация, номер учётной записи пациента, серийный номер устройства, номер страховки, дата услуги, дата рождения | Утечка подтверждена (компания) |
| Пароли | Не перечислены | Не упомянуто |
| Данные платёжных карт и банковских счетов | Компания говорит, что не хранит их | Не входят (компания) |
| Результаты мониторинга сердца и данные медицинских устройств | Не перечислены; компания говорит об отсутствии влияния на клинические системы и системы медицинских устройств | Не упомянуто (клинические системы: влияния не найдено, компания) |
| Причина | В уведомлении сказано о несанкционированном доступе к бизнес-приложениям, размещённым у третьей стороны. «Социальная инженерия» — так BleepingComputer и другие издания описывают документ для SEC; в уведомлении этого нет | Сообщается (нет в уведомлении); детали не раскрыты |
| Число людей | iRhythm не опубликовала общей цифры; в списке HHS 8 179 772 по данным SecurityWeek и CyberInsider | Сообщается (не от компании) |
| Цифры по штатам | 298 647 в Техасе и 69 526 в Южной Каролине (заявления штатов по данным The Record; не суммируются) | Сообщается |
| Требование оплаты | По сообщениям прессы, одна сторона потребовала оплату | Сообщается |
| Публикация или продажа данных | В уведомлении не упоминается | Не раскрыто |
| Злоупотребление данными | Компания говорит, что нет доказательств использования для кражи личности | Доказательств не найдено (компания) |
| Бесплатный кредитный мониторинг | В уведомлении, как о нём сообщается, не упоминается | Не упомянуто |
| Финансовые последствия | Компания говорит, что существенное финансовое влияние маловероятно. Отдельно BleepingComputer сообщает, что 10 июня компания признала инцидент существенным из-за объёма данных | Позиция компании; решение от 10 июня сообщается |
Как читать цифры
Цифра 8 179 772 — это запись на портале HHS по данным двух изданий. Мы не видели, чтобы iRhythm сама назвала общее число. Цифры по Техасу и Южной Каролине намного меньше, потому что каждое заявление штата учитывает только жителей этого штата. Не складывайте цифры штатов друг с другом или с цифрой HHS.
Для чего можно использовать такие сочетания данных
В целом следующие сочетания можно использовать во зло так, как описано ниже. Это не означает, что так произошло в данном случае.
- Имя + номер страховки + дата рождения: можно выставить страховой счёт за лечение на чужое имя (кража медицинской личности) или пройти слабую проверку личности
- Имя + контакты + дата услуги + серийный номер устройства: позволяет написать сообщение о «вашем мониторе» или «недавней услуге», которое выглядит как письмо от поставщика или бухгалтерии
- Дата рождения + адрес: данные, которые спрашивают многие проверки личности, поэтому заморозку кредита стоит рассмотреть
Для организаций, которые хранят данные пациентов в облачных бизнес-приложениях
По словам компании, данные были получены из бизнес-приложений, размещённых у третьей стороны, и скачивались в течение нескольких дней, прежде чем это обнаружили. Как был получен доступ, не раскрыто, кроме слов «социальная инженерия», поэтому в этом разделе только то, что может проверить любая организация с похожей конфигурацией. Меры iRhythm мы не оцениваем.
Составьте список бизнес-приложений с идентификаторами пациентов и тех, кто может из них выгружать данные
Имена пациентов, номера страховок и серийные номера устройств могут находиться в инструментах выставления счетов, поддержки и планирования, а не только в клинической системе. Перечислите каждое приложение, где они хранятся, и тех, кто вправе выгружать их или строить по ним отчёты. Уведомление проводит здесь границу: компания говорит, что клинические системы и системы устройств не затронуты, а бизнес-приложения затронуты.
Настройте оповещения о массовых выгрузках и скачиваниях
Компания говорит, что данные просматривались и скачивались несколько дней (с 3 по 8 июня). Большинство бизнес-приложений могут вести журнал массовых выгрузок. Отправляйте оповещение назначенному сотруднику, когда учётная запись скачивает намного больше записей, чем обычно, и убедитесь, что кто-то может отключить эту учётную запись в любое время суток (справка: Ограничение частоты запросов и защита от злоупотреблений).
Считайте людей, сбрасывающих доступ, частью защиты
Социальная инженерия нацелена на людей и процессы, а не на программы. Заранее решите, как сотрудники и внешние службы поддержки проверяют личность перед сбросом пароля или способа многофакторной аутентификации, и отдавайте предпочтение способам входа, которые нельзя передать убедительному собеседнику по телефону, например ключам доступа (passkey) (см. руководство по многофакторной аутентификации).
Позиция этого сайта: разрыв между обнаружением и уведомлением тоже часть раскрытия
Компания говорит, что обнаружила активность в июне, а уведомлять людей начала в октябре, причём цифра HHS появилась ещё позже. Для пациентов это месяцы, когда их данные были в чужих руках без их ведома. Разумный ответ — долго следить за выписками и кредитными отчётами.
Источники (публичные материалы)
Факты в этой статье взяты из приведённых ниже публичных источников. О нераскрытых методах, приложениях и причинах мы не строим догадок.
- iRhythm Technologies, «Notice of Data Event» (обновлённое уведомление, 2 октября 2026) — irhythmtech.com
- BleepingComputer о документе iRhythm для SEC от 15 июня 2026 (16 июня 2026) — bleepingcomputer.com
- SecurityWeek, «HHS Filing Puts iRhythm Data Breach Toll at 8.2 Million» (29 октября 2026) — securityweek.com
- CyberInsider, «iRhythm's June data breach has impacted over 8.18 million people» (29 октября 2026) — cyberinsider.com
- The Record, цифры по Техасу и Южной Каролине (9 октября 2026) — therecord.media
- HIPAA Journal, использован только для контакта 9 июня (19 октября 2026) — hipaajournal.com
Цифра в заголовке опирается на приведённые выше сообщения прессы о записи на портале HHS; саму запись на портале мы не читали.
История обновлений
2026-10-30: первая версия на основе уведомления iRhythm от 2 октября и сообщений прессы о документе для SEC и о списке HHS (29 октября). Мы обновим статью, когда iRhythm опубликует общую цифру или дополнительные сведения.
Читайте далее
- Ещё одна утечка в американском здравоохранении с данными медицинского страхования: AdaptHealth (около 4,1 млн человек)
- Обзор: Утечки данных в американском здравоохранении в 2026 году
- Мошенничество после утечки: Что такое фишинг? / Основы безопасности смартфона
- Другие инциденты 2026 года: Утечки данных и кибератаки в 2026 году