适用对象：佩戴过iRhythm Zio监测仪或在iRhythm登记为患者的美国人（以及其他任何人），以及在云端业务应用中保存患者数据的机构。本文基于iRhythm Technologies自己的通知，不涉及攻击手法。
事件仍在发展：本文将随机构发布更多信息而更新
截至2026年10月30日尚不清楚
- 公司自己公布的受影响总人数
- 涉及哪些第三方应用
- 社会工程具体是如何实施的
- 是否有数据被公布或出售
- 是否会提供免费信用监控
iRhythm在2026年10月2日的通知中表示，正在通知受影响人员，并且没有证据表明存在身份盗用方面的滥用。公司没有说明何时发布更多信息。标题中的人数来自媒体报道的HHS列示，而不是公司的声明。
Zio患者今天应该做什么
不要相信意外消息中的链接或电话号码
姓名、地址、电子邮件、电话号码、保险号码和服务日期合在一起，会使有关“您的Zio监测仪”“未付余额”或“保险索赔”的消息看起来很真实。这是一般性推理，并不是说已有此类消息被发送。
如果消息要求您登录、付款、确认保险号码或回电，请不要使用消息中的内容。请自行打开保险公司或iRhythm的网站，或使用保险卡上的电话号码（参见什么是网络钓鱼？）。
查看保险公司的对账单，留意您不认识的服务
外泄项目包括保险号码。一般而言，被盗的保险号码可能被用来以他人名义为医疗服务或设备开具账单，这称为医疗身份盗用。iRhythm的通知建议采取相应预防措施。
请登录保险公司的网站，查看近期的福利说明对账单。对于您没有接受过的服务，请向保险公司报告。
考虑设置信用冻结和欺诈警报
通知提到了欺诈警报、安全冻结和免费信用报告。在美国，向三家信用机构分别设置安全冻结是免费的，在您解除之前，可以阻止大多数以您名义开立的新信用账户。
据报道，通知中没有提及免费信用监控，所以不要等待提供后再行动。美国联邦贸易委员会的网站IdentityTheft.gov说明了具体步骤。
预期您的出生日期和保险号码将在很长时间内仍可被利用
与密码不同，出生日期无法更改。保险号码只能由保险公司更改。请持续留意对账单和信用报告数月，而不是几天。
外泄项目中未列出密码。如果您在多个账户中重复使用密码，使用密码管理器仍是切实可行的解决办法。
只使用官方通知中的联系方式
公司的通知提供了一个免费应答专线1-844-770-7175，美国东部时间周一至周五8:00至20:00，节假日除外。请对照iRhythm自己网站上的通知核实该号码，而不是对照您收到的消息中的号码。
事件经过（来自iRhythm的通知和申报文件）
以下经过来自iRhythm于2026年10月2日发布的通知。标注“据报道”的内容来自媒体对公司向SEC提交的文件以及HHS列示的报道。
2026年6月3日至8日
据公司的取证调查，数据从部分托管在第三方的业务应用中被访问和下载。6月8日
iRhythm检测到未经授权的访问（通知称“大约在”这一日期），并启动了事件响应计划。6月9日（据报道）
据CyberInsider和HIPAA Journal报道，有一方联系了iRhythm，声称已获取数据并索要付款。6月15日
iRhythm通知了SEC。公司表示预计不会对其财务造成重大影响，并在10月重申了这一看法。10月2日
发布更新后的通知；开始通知受影响人员，对象是公司持有其联系方式的人。10月29日（据报道）
SecurityWeek和CyberInsider报道，该事件在HHS泄露事件门户上列示为8,179,772人。
2026年6月3日–8日
数据从托管在第三方的业务应用中被访问和下载（公司）
↓
约6月8日
iRhythm检测到该活动（公司）
↓
6月15日
向SEC提交文件
↓
10月2日
更新通知；开始通知受影响人员（公司）
↓
10月29日
SecurityWeek和CyberInsider报道HHS列示为8,179,772人（并非公司的声明）
- 公司
- iRhythm Technologies, Inc.（美国），Zio可穿戴心脏监测仪制造商
- 数据所在位置
- 部分托管在第三方的业务应用。未点名这些应用
- 被获取的项目
- 患者姓名；联系信息（地址、电子邮件地址、电话号码）；iRhythm患者账户号码；iRhythm设备序列号；患者保险号码；服务日期；出生日期
- 分类
- 公司表示数据包括HIPAA所定义的受保护健康信息
- 未存储
- 公司表示不存储个人金融账户或支付卡信息
- 原因
- 通知称为未经授权的访问。媒体报道称SEC申报文件将其称为社会工程，这在通知中没有。细节未披露
- 据公司称未受影响
- 产品、临床或医疗设备系统、客户连接、制造和分销、患者安全
- 应对
- 启动事件响应计划，聘请外部网络安全专业人员，已完成取证调查，并审查数据以确定内容
已知与未知
截至2026年10月30日的状态。iRhythm发布更多信息后，我们将更新状态一栏。
| 项目 | 通知或申报文件的说法 | 状态 |
|---|---|---|
| 访问和下载的期间 | 2026年6月3日至6月8日 | 已确认（公司） |
| 检测 | 2026年6月8日前后 | 已确认（公司） |
| 数据项目 | 姓名、联系信息、患者账户号码、设备序列号、保险号码、服务日期、出生日期 | 已确认泄露（公司） |
| 密码 | 未列出 | 未提及 |
| 支付卡和银行账户数据 | 公司表示不存储 | 不包括（公司） |
| 心脏监测结果和医疗设备数据 | 未列出；公司表示对临床或医疗设备系统没有影响 | 未提及（临床系统：未发现影响，公司） |
| 原因 | 通知称为对托管在第三方的业务应用的未经授权访问。“社会工程”是BleepingComputer等媒体对SEC申报文件的描述；通知中没有 | 据报道（通知中没有）；细节未披露 |
| 人数 | iRhythm未公布总数；据SecurityWeek和CyberInsider，HHS列示为8,179,772人 | 据报道（并非来自公司） |
| 州级人数 | 德克萨斯州298,647人，南卡罗来纳州69,526人（据The Record报道的州级申报；未相加） | 据报道 |
| 索要付款 | 据媒体报道，有一方索要付款 | 据报道 |
| 数据的公布或出售 | 通知中未提及 | 未披露 |
| 数据滥用 | 公司表示没有证据表明存在身份盗用方面的滥用 | 未发现证据（公司） |
| 免费信用监控 | 据报道，通知中未提及 | 未提及 |
| 财务影响 | 公司表示发生重大财务影响的可能性不大。另据BleepingComputer报道，公司在6月10日因涉及的数据量而认定该事件具有重大性 | 公司的看法；据报道6月10日作出认定 |
如何理解这些数字
8,179,772这一数字是两家媒体所述的HHS门户列示。我们没有看到iRhythm自己公布总数。德克萨斯州和南卡罗来纳州的人数要小得多，因为各州的申报只统计该州居民。请勿将各州数字相互相加，也不要加到HHS的数字上。
这些数据组合可以被用来做什么
一般而言，下列组合可能被如下所述滥用。这并不意味着本案中已经发生了这些情况。
- 姓名+保险号码+出生日期：可能被用来以他人名义向保险公司为医疗服务开具账单（医疗身份盗用），或者通过薄弱的身份核验
- 姓名+联系方式+服务日期+设备序列号：使人可以写出一条关于“您的监测仪”或“您最近的服务”、看起来像是来自服务提供方或账单部门的消息
- 出生日期+地址：许多身份核验都会询问的信息，所以值得考虑设置信用冻结
给在云端业务应用中保存患者数据的机构
据公司称，数据来自托管在第三方的业务应用，并在被检测到之前的几天内被下载。除“社会工程”外，访问是如何获得的并未披露，因此本节只涉及任何设置类似的机构都可以检查的要点。我们不评估iRhythm的措施。
列出哪些业务应用保存患者标识信息，以及谁可以从中导出
患者姓名、保险号码和设备序列号不仅可能存在于临床系统中，也可能存在于账单、支持和排期工具中。请列出保存这些信息的每个应用，以及谁有权导出或生成报告。通知在这里划了一条线：公司表示临床和设备系统未受影响，而业务应用受到了影响。
对大量导出和下载发出警报
公司表示，数据在几天内（6月3日至6月8日）被访问和下载。大多数业务应用都可以记录批量导出。当某个账户下载的记录远超其正常使用量时，应向指定人员发出警报，并确保有人可以在任何时间禁用该账户（背景：速率限制与滥用控制）。
本站观点：从检测到通知之间的间隔也是暴露的一部分
公司表示在6月检测到该活动，并在10月开始通知人员，HHS的人数则更晚才出现。对患者而言，这意味着数月里他们的信息在别人手中而自己并不知情。长期留意对账单和信用报告是明智的应对。
信息来源（公开记录）
本文事实来自以下公开来源。对于未披露的方法、应用或原因，不作推测。
- iRhythm Technologies，“Notice of Data Event”（更新后的通知，2026年10月2日）— irhythmtech.com
- BleepingComputer关于iRhythm于2026年6月15日向SEC提交文件的报道（2026年6月16日）— bleepingcomputer.com
- SecurityWeek，“HHS Filing Puts iRhythm Data Breach Toll at 8.2 Million”（2026年10月29日）— securityweek.com
- CyberInsider，“iRhythm's June data breach has impacted over 8.18 million people”（2026年10月29日）— cyberinsider.com
- The Record，德克萨斯州和南卡罗来纳州的州级人数（2026年10月9日）— therecord.media
- HIPAA Journal，仅用于6月9日的联系（2026年10月19日）— hipaajournal.com
标题中的人数依据上述媒体对HHS门户列示的报道；我们没有亲自阅读该门户条目。
更新记录
2026-10-30：首版，基于iRhythm于10月2日发布的通知，以及媒体对SEC申报文件和HHS列示（10月29日）的报道。iRhythm公布总数或更多细节时，我们将更新本文。
延伸阅读
- 另一起涉及健康保险数据的美国医疗泄露事件：AdaptHealth（约410万人）
- 概览：2026年美国医疗数据泄露事件
- 泄露后的诈骗：什么是网络钓鱼？ / 智能手机安全基础
- 其他2026年事件：2026年数据泄露和网络攻击事件