Для: пациентов в США, использующих медицинское устройство Medtronic (например, кардиостимулятор), их семей и всех, кто работает с данными пациентов по медицинским устройствам. Статья основана на официальном заявлении Medtronic и документах SEC, на материалах, поданных генеральными прокурорами штатов США, на уведомительном письме и на общедоступной информации федеральных ведомств США (FTC, IRS и нормативные акты FDA). Статья не описывает методы атаки.
Что пациентам с устройством нужно сделать сегодня
Не меняйте способ использования устройства; обсудите опасения с врачом
В обновлении от 29 июня 2026 года Medtronic подтвердила, что инцидент не повлиял на способность какого-либо устройства Medtronic работать безопасно и обеспечивать предусмотренную терапию. Не нужно самостоятельно менять настройки устройства или пропускать приёмы из-за новостей об утечке.
Если вас беспокоит само устройство, обсудите это с врачом или клиникой. Компания просит врачей, у которых есть вопросы, обращаться к своему местному представителю Medtronic.
Проверьте письмо, чтобы понять, что затронуто именно для вас
Компания начала связываться с людьми, чьи данные могли быть затронуты, 29 июня 2026 года. Уведомительное письмо, поданное Генеральному прокурору штата Калифорния, адресовано пациентам с медицинским устройством Medtronic. Вопросы направляйте по номеру (888) 289-6806 (с понедельника по пятницу, с 9:00 до 21:00 по восточному времени, ET).
Подключитесь к бесплатным услугам на 24 месяца до истечения срока
Письмо предлагает 24 месяца бесплатного мониторинга кредитной истории, мониторинга тёмной сети и услуг восстановления после кражи личности. Срок подключения и код активации напечатаны в вашем письме. Мониторинг сообщает о случившемся уже после того, как что-то произошло, поэтому используйте его вместе со следующим шагом.
Защитите SSN: заморозьте кредитную историю во всех трёх бюро и получите IP PIN от IRS
Заморозка кредитной истории бесплатна, и её нужно установить в каждом из бюро: Equifax, Experian и TransUnion. IP PIN от IRS — это шестизначный номер, который не даёт другим людям подать налоговую декларацию с вашим SSN. Полный список действий для США, включая детей и членов семьи, см. в материале о том, что делать участникам DentaQuest.
Затронута информация о здоровье, поэтому проверяйте выписки о медицинских услугах
FTC относит к признакам медицинской кражи личности счёт или выписку об объяснении выплат (Explanation of Benefits) за услуги, которые вы не получали, а также звонки коллекторов по поводу медицинского долга, который вы не должны. Если вы нашли такое, FTC рекомендует запросить копии ваших медицинских записей у учреждений и страховых компаний, участвовавших в этом, и сообщить об ошибках поставщику услуг в письменном виде.
Проверяйте любой звонок или письмо о «вашем устройстве», перезванивая
В утёкших данных есть контактная и медицинская информация, поэтому сам факт использования вами устройства может быть известен. Сообщения вроде «вашему устройству нужно обновление, подтвердите личность» или «нам нужен ваш SSN для гарантии» звучат убедительно, потому что мошенники знают это.
Само письмо предупреждает людей быть осторожными с неожиданными письмами, текстовыми сообщениями или телефонными звонками, в которых запрашивают личные данные. Положите трубку и позвоните по номеру, который у вас уже есть: из письма, с карточки устройства или в клинику вашего врача (см. что такое фишинг?).
Корпоративные ИТ-системы = доступ получен
В уведомлении: имя, контактная информация, дата рождения, SSN, информация о здоровье
Раздельные сети, по заявлению компании
Продукты (устройства)
Влияния на безопасную работу и терапию не выявлено
Производство и дистрибуция
Влияние не выявлено
Сети больниц
Управляются собственными ИТ-командами больниц
Что делают пациенты
Продолжают пользоваться устройством → защищают утёкшие данные (SSN, контактная информация) заморозкой кредитной истории и звонками по официальным номерам
Что произошло (по заявлениям Medtronic и материалам штатов)
Ниже приведены сведения из официального заявления Medtronic (24 апреля 2026 года, обновлено 29 июня) и документа SEC, уведомительного письма, поданного Генеральному прокурору штата Калифорния, и списка утечек Генерального прокурора штата Индиана.
13 апреля 2026 года
Согласно уведомительному письму, это дата, когда неизвестный злоумышленник начал получать доступ к отдельным корпоративным ИТ-системам.15 апреля
Компания узнаёт о необычной активности в отдельных корпоративных ИТ-системах и начинает расследование с привлечением сторонних экспертов по кибербезопасности.19 апреля
Согласно уведомительному письму, последний день периода доступа.24 апреля
Компания публикует заявление и в тот же день прилагает его к форме 8-K, поданной в SEC. В нём сказано, что она не выявила влияния на свои продукты, безопасность пациентов, связи с клиентами, производство и дистрибуцию или системы финансовой отчётности.29 июня
Компания обновляет заявление и начинает связываться с затронутыми людьми. В списках Индианы и Калифорнии указана одна и та же дата.
- Компания
- Medtronic Inc. (американский производитель медицинских устройств; её материнская компания Medtronic plc подаёт отчёты в SEC)
- Что было доступно
- Данные в отдельных корпоративных ИТ-системах
- Затронутая информация (уведомительное письмо)
- Имя, контактная информация, дата рождения, номер социального страхования (SSN), информация о здоровье
- Зачем хранились данные (уведомительное письмо)
- Для пациентов с устройством Medtronic собирались, чтобы предоставлять важные обновления, связанные с продуктом, и выполнять юридические обязательства
- Влияние не выявлено
- Безопасность продуктов; безопасность пациентов, включая способность любого устройства работать безопасно и обеспечивать терапию; производство и дистрибуция; возможность удовлетворять потребности пациентов и клиентов
- Публикация
- Компания заявляет, что у неё нет доказательств того, что информация была опубликована в открытом доступе или раскрыта в интернете
- Ответ компании
- Локализация инцидента, протоколы реагирования, внешние эксперты, дополнительные меры защиты. Компания заявляет, что взаимодействовала с правоохранительными органами и уведомляет соответствующие регуляторные органы
- Контакт
- (888) 289-6806 (с понедельника по пятницу, с 9:00 до 21:00 по восточному времени, ET)
Как читать цифры и географию
Мы используем 3 834 294 — цифру из списка Генерального прокурора штата Индиана. В интернете циркулируют и большие числа, но они исходят от стороны, которая заявляет, что получила данные, и компания их не подтвердила.
Компания также не сообщила, затронуты ли люди за пределами США. Уведомления и заявления, которые мы нашли, направлены властям штатов США, и мы не нашли уведомления, адресованного пользователям устройств в Японии.
Зачем производителю устройств ваш SSN?
Многие пациенты спросят, почему компания, которая не является их больницей, знает их номер социального страхования. Уведомительное письмо частично отвечает на этот вопрос: данные пациентов собираются, чтобы предоставлять важные обновления, связанные с продуктом, и выполнять юридические обязательства.
Часть этого контекста — американское отслеживание медицинских устройств. Правила FDA (21 CFR Part 821) распространяются на устройства, на которые действует приказ FDA и которые отвечают таким критериям, как имплантация более чем на год или вероятность серьёзных неблагоприятных последствий для здоровья при отказе. Для таких устройств производитель должен иметь возможность проследить устройство от завода до пациента.
Цель — обеспечить работу таких мер, как отзывы продукции и уведомление пациентов. Обязательные записи включают имя пациента, адрес, номер телефона и номер социального страхования (если он есть), а также лечащего врача, выписавшего устройство.
Это общее описание правил. Компания не сообщила, какие записи содержались в затронутых системах. Но общая картина для пациентов ясна.
Данные пациента, которые хранит производитель, отдельно от устройства
- Имя, адрес, номер телефона (регистрация устройства, карточка с идентификатором, гарантия и поддержка)
- Дата рождения и SSN (удостоверяющие личность и юридические записи)
- Информация о здоровье (например, какое устройство вы используете)
- В случае утечки пригодны для выдачи себя за другого и для мошенничества, которое звучит компетентно
Само устройство
- Как устройство работает и обеспечивает терапию
- Уязвимости устройств решаются через информацию о безопасности продуктов производителя и вашу клинику
- Компания заявляет, что не выявила влияния на безопасную работу
- Утечка списка пациентов сама по себе не даёт никому контроля над устройством
Позиция этого сайта: не снимать устройство с регистрации, а не допустить злоупотребления утёкшими данными
Правила FDA позволяют пациенту отказаться от передачи своего имени, SSN и других идентифицирующих данных для отслеживания (21 CFR 821.55). Решение об отказе от отслеживания принимается вместе с врачом, а не на основании только новости об утечке. Отслеживание существует для того, чтобы отзывы и уведомления о безопасности доходили до вас; риск того, что уведомление до вас не дойдёт, в отличие от риска утечки SSN, не закрывается заморозкой или PIN.
Вместо этого действуйте в отношении каждого типа утёкших данных.
– SSN: сделайте его бесполезным с помощью заморозки кредитной истории и IP PIN от IRS
– Контактная и медицинская информация: любой контакт, который упоминает ваше устройство, считайте тем, что нужно проверить
– Данные регистрации: обновляйте их при переезде или смене номера телефона
Помня, что безопасность устройства — вопрос для вашего врача, а утёкшие личные данные вы защищаете сами с помощью заморозки и похожих мер, вы не дадите панике взять верх.
Для производителей и компаний, которые хранят данные пациентов
Компания заявляет, что её сети продуктов, производства и корпоративных ИТ разделены. Это важный принцип для безопасности устройств, однако затронутыми оказались данные, хранившиеся в корпоративной ИТ-среде. Для данных пациентов вне продукта стоит проверить три вещи.
Подсчитайте, где хранятся данные пациентов вне продукта
Регистрация устройств, гарантия, линии поддержки, аккаунты в приложениях, клинические исследования, маркетинг. Составьте список мест, где хранятся данные пациентов, включая SSN или диагнозы, которые не охватывают проверки безопасности продуктов.
Подход тот же, что и в инвентаризации безопасности: начните с записи того, где что находится, сколько там записей и кто к ним имеет доступ.
Отделите места, где SSN нужен, от мест, где он не нужен
Разделите юридически обязательные записи и работу, например звонки в поддержку, которую можно выполнить с именем и серийным номером устройства, и сократите количество систем, которые хранят SSN. Данные, которые вы не храните, не могут утечь.
Заранее подготовьте ответ на вопрос «безопасно ли моё устройство?»
В заявлении компании с самого первого раскрытия говорилось о влиянии на продукты и безопасность пациентов. Организации, выпускающие продукты для пациентов, должны исходить из того, что после инцидента в корпоративной ИТ-среде первое, что хотят узнать пациенты, — безопасно ли их устройство, и быть готовыми объяснить основание для ответа (например, разделение сетей).
Общий подход см. в материале о минимальном базовом уровне безопасности для организаций.
Источники (открытая информация)
Факты в этой статье основаны на следующей общедоступной информации. Цифры, заявленные стороной, которая, по утверждениям, получила данные, и внешние оценки, не используются.
- Medtronic, «Medtronic statement on unauthorized system access» (24 апреля 2026 года, обновлено 29 июня) — news.medtronic.com
- Medtronic plc, форма 8-K (24 апреля 2026 года, Exhibit 99.1) — sec.gov
- Генеральный прокурор штата Калифорния, список утечек Medtronic Inc. (образец уведомительного письма, 29 июня 2026 года) — oag.ca.gov
- Генеральный прокурор штата Индиана, «Data Breach Year to Date Report 2026» (Medtronic Inc: 3 834 294 затронутых; уведомления отправлены 29 июня 2026 года) — in.gov
- Medtronic, «Product security» (информация о безопасности продуктов и контакты) — medtronic.com
- Свод федеральных нормативных актов, 21 CFR Part 821 (отслеживание медицинских устройств: 821.1, 821.25, 821.55) — ecfr.gov
- Федеральная торговая комиссия (FTC), «What To Know About Medical Identity Theft» — consumer.ftc.gov / «Credit Freezes and Fraud Alerts» — consumer.ftc.gov / IdentityTheft.gov
- Налоговая служба США (IRS), «Get an identity protection PIN» — irs.gov
История обновлений
30.09.2026: первая версия, основанная на заявлении Medtronic (24 апреля 2026 года, обновлено 29 июня) и документе SEC, общедоступной информации от генеральных прокуроров штатов Калифорния и Индиана, рекомендациях FTC и IRS и нормативных актах FDA. Мы обновим материал, если компания опубликует новые сведения.
Читайте далее
- Полный список действий для США (заморозка, IP PIN, дети): Утечка данных DentaQuest (SSN и номера Medicaid)
- Куда сообщать, если утёк номер водительского удостоверения: Утечка данных AssuranceAmerica (номера водительских удостоверений)
- Уведомление от компании, с которой вы никогда не имели дела: Утечка данных Aesto Health (архив медицинских карт)
- Мошенничество после утечек: Что такое фишинг?
- Другие инциденты 2026 года: Список утечек данных и кибератак (Япония и мир)
- Для операторов: Минимальный базовый уровень безопасности для организаций / Инвентаризация безопасности