适用对象：在美国使用美敦力医疗设备（例如心脏起搏器）的患者及其家属，以及处理医疗设备患者数据的任何人。本文依据美敦力的官方声明和SEC文件、美国各州总检察长的备案文件及通知函，以及美国机构（FTC、IRS和FDA法规）的公开信息撰写。本文不涉及攻击手法。
设备患者今天应该做什么
不要改变设备的使用方式；有疑虑请咨询医生
美敦力在2026年6月29日的更新中重申，此次事件并未影响任何美敦力设备安全运行并提供预期治疗的能力。不必因为泄露消息而自行更改设备设置或取消就诊。
如果您对设备本身有担忧，请咨询您的医生或诊所。该公司要求有疑问的医生联系当地的美敦力代表。
查看您的信件，了解与您相关的情况
公司于2026年6月29日开始联系可能受到影响的人员。向加利福尼亚州总检察长提交的通知函是发给使用美敦力医疗设备患者的。咨询电话为(888) 289-6806（周一至周五，美国东部时间上午9点至晚上9点）。
在截止日期前注册免费的24个月服务
信函提供24个月免费的信用监控、暗网监控和身份盗用修复服务。注册截止日期和激活码印在您本人的信件上。监控只能在事情发生后告诉您，因此请配合下一步措施一同进行。
保护社会安全号码：在三大征信机构冻结信用并申请IRS身份保护PIN
信用冻结是免费的，必须分别向Equifax、Experian和TransUnion各自申请。IRS身份保护PIN是一个六位数字，可防止他人使用您的社会安全号码报税。关于包括儿童和家庭成员在内的完整美国检查清单，请参阅DentaQuest会员应该怎么做。
涉及健康相关信息，请仔细核对您的费用明细
FTC列出的医疗身份盗用迹象包括：收到您并未接受过的服务的账单或医疗费用明细（Explanation of Benefits），或有催收人员打电话催讨您并不欠的医疗债务。如果发现此类情况，FTC建议向相关医疗服务提供者和保险公司索取您的记录副本，并以书面形式向服务提供者报告错误。
对于声称与“您的设备”有关的来电或邮件，请回拨核实
暴露的数据包括联系方式和健康相关信息，因此您使用某种设备的事实可能已为他人所知。诸如“您的设备需要更新，请验证您的身份”或“我们需要您的社会安全号码以办理保修”之类的信息之所以显得可信，正是因为对方掌握了这些情况。
信件本身也提醒人们，要警惕索取个人信息的不明电子邮件、短信或电话。请挂断，并拨打您已有的号码：信件上的号码、设备ID卡上的号码或您诊所的电话（参见什么是网络钓鱼？）。
公司IT系统 = 已被访问
通知中提及：姓名、联系方式、出生日期、社会安全号码、健康相关信息
据公司称，网络相互独立
产品（设备）
未发现对安全运行和治疗的影响
生产与分销
未发现影响
医院网络
由医院自身的IT团队管理
患者应该怎么做
继续使用设备 → 通过信用冻结和回拨官方号码来保护泄露的数据（社会安全号码、联系方式）
发生了什么（依据美敦力的声明和州级备案文件）
以下内容摘自美敦力的官方声明（2026年4月24日发布，6月29日更新）和SEC文件、提交给加利福尼亚州总检察长的通知函，以及印第安纳州总检察长的数据泄露名单。
2026年4月13日
根据通知函，未经授权的行为者开始访问部分公司IT系统的日期。4月15日
公司发现部分公司IT系统出现异常活动，并聘请第三方网络安全专家展开调查。4月19日
根据通知函，访问期的最后一天。4月24日
公司发布声明，并在当天附在提交给SEC的8-K表格中。声明称，尚未发现对其产品、患者安全、客户连接、生产与分销或财务报告系统的任何影响。6月29日
公司更新声明，并开始联系受影响人员。印第安纳州和加利福尼亚州的名单标注的是同一日期。
- 公司
- Medtronic Inc.（美国医疗设备制造商；其母公司Medtronic plc向SEC提交文件）
- 被访问的内容
- 部分公司IT系统中的数据
- 涉及的信息（通知函）
- 姓名、联系方式、出生日期、社会安全号码、健康相关信息
- 公司持有数据的原因（通知函）
- 针对使用美敦力设备的患者，收集数据是为了提供重要的产品相关更新并履行法律义务
- 未发现影响
- 产品安全；患者安全，包括任何设备安全运行并提供治疗的能力；生产与分销；满足患者和客户需求的能力
- 公开情况
- 公司表示，没有证据显示相关信息曾被公开发布或暴露在互联网上
- 公司的应对
- 遏制措施、事件响应流程、外部专家、额外的安全保障。公司表示已与执法部门合作，并正在通知相关监管机构
- 联系方式
- (888) 289-6806（周一至周五，美国东部时间上午9点至晚上9点）
如何理解数字和地域范围
我们采用3,834,294这一数字，即印第安纳州总检察长名单上的数字。网上流传的数字更大，但它们来自声称获取了数据的一方，且公司并未确认。
公司也未说明美国以外是否有人受到影响。我们查到的通知和文件均提交给了美国州级机构，我们没有找到针对日本设备使用者的通知。
为什么设备制造商会有您的社会安全号码？
很多患者会问，为什么一家并非他们医院的公司会拥有他们的社会安全号码。通知函本身回答了其中一部分：收集患者数据是为了提供重要的产品相关更新并履行法律义务。
其中一个背景是美国的设备追踪制度。FDA法规（21 CFR Part 821）适用于受FDA命令约束的设备，这些设备需符合某些标准，例如植入体内超过一年，或一旦失效可能导致严重不良健康后果。对于这类设备，制造商必须能够将设备从出厂追溯到患者。
其目的是使召回和患者通知等补救措施得以实施。所需记录包括患者的姓名、地址、电话号码以及社会安全号码（如有），还包括开具处方的医生。
以上是对规定的一般性说明。该公司尚未说明受影响系统中包含哪些记录。但对患者而言，情况是清楚的。
制造商持有的患者数据，与设备本身分开
- 姓名、地址、电话号码（设备注册、ID卡、保修和支持）
- 出生日期和社会安全号码（身份及法律记录）
- 健康相关信息（例如您使用的是哪种设备）
- 一旦暴露，可能被用于冒充以及伪装成知情人的诈骗
设备本身
- 设备如何运行并提供治疗
- 设备的安全缺陷通过制造商的产品安全信息和您的诊所处理
- 该公司表示，尚未发现对安全运行的影响
- 患者名单被暴露，本身并不会让任何人控制设备
本站观点：与其取消注册，不如阻止泄露的数据被滥用
FDA规定允许患者拒绝提供其姓名、社会安全号码及其他用于追踪的身份信息（21 CFR 821.55）。是否撤回，是一个需要与您的医生共同决定的事情，而不应仅基于此次泄露事件做出。设备追踪的存在是为了让召回和安全通知送达您；而通知无法送达的风险，与社会安全号码暴露的风险不同，无法通过冻结或PIN来弥补。
相反，应针对每一类泄露的数据采取行动。
・社会安全号码：通过信用冻结和IRS身份保护PIN使其失去用途
・联系方式和健康相关信息：凡提及您设备的联系，都应视为需要核实的内容
・注册信息：每次搬家或更换电话号码时，请及时更新
记住：设备安全是您医生的职责范围，而泄露的个人数据则是您可以通过冻结等类似措施自行保护的内容。这样有助于避免慌乱。
面向持有患者数据的制造商和企业
该公司表示，其产品网络、生产网络和公司IT网络是相互独立的。这对设备安全而言是重要的设计，但受影响的患者数据是公司IT中持有的数据。对于存在于产品之外的患者数据，有三件事值得检查。
梳理产品之外患者数据的存放位置
设备注册、保修、支持热线、应用账户、临床研究、市场营销。列出包括社会安全号码或诊断信息在内的患者数据存放在哪些产品安全审查未覆盖的地方。
做法与安全资产清单相同：首先记录数据的存放位置、记录数量以及谁可以访问。
区分哪些地方确需社会安全号码，哪些地方不需要
将法律要求的记录与可以仅凭姓名和设备序列号完成的工作（如支持电话）区分开，并减少保存社会安全号码的系统数量。您不持有的数据，就无法泄露。
提前准备好对“我的设备安全吗？”这一问题的回答
该公司的声明从首次披露起就涉及对产品和患者安全的影响。面向患者的产品企业应当预料到，在公司IT事件发生后，患者首先想知道的是其设备是否安全，并应做好解释该结论依据的准备（例如网络隔离）。
有关整体做法，请参阅组织最低安全基线。
信息来源（公开记录）
本文事实依据以下公开信息。据称获取数据的一方所声称的数字以及外部估算数字均未采用。
- 美敦力，《Medtronic statement on unauthorized system access》（2026年4月24日，6月29日更新）— news.medtronic.com
- Medtronic plc，Form 8-K（2026年4月24日，Exhibit 99.1）— sec.gov
- 加利福尼亚州总检察长，Medtronic Inc.数据泄露公告（通知函样本，2026年6月29日）— oag.ca.gov
- 印第安纳州总检察长，《Data Breach Year to Date Report 2026》（Medtronic Inc：3,834,294人受影响；通知于2026年6月29日发出）— in.gov
- 美敦力，《Product security》（产品安全信息及联系方式）— medtronic.com
- 美国联邦法规汇编，21 CFR Part 821（医疗器械追踪：821.1、821.25、821.55）— ecfr.gov
- 美国联邦贸易委员会（FTC），《What To Know About Medical Identity Theft》— consumer.ftc.gov /《Credit Freezes and Fraud Alerts》— consumer.ftc.gov / IdentityTheft.gov
- 美国国税局（IRS），《Get an identity protection PIN》— irs.gov
更新记录
2026-09-30：首次发布，依据美敦力的声明（2026年4月24日，6月29日更新）和SEC文件、加利福尼亚州和印第安纳州总检察长的公开信息、FTC和IRS的指导意见以及FDA法规撰写。如果公司发布更多信息，我们将予以更新。
延伸阅读
- 完整的美国检查清单（冻结、IP PIN、儿童）：DentaQuest数据泄露（社会安全号码和Medicaid号码）
- 驾照号码泄露时还可向何处举报：AssuranceAmerica数据泄露（驾照号码）
- 来自您从未接触过的公司的通知：Aesto Health数据泄露（医疗记录档案库）
- 数据泄露后出现的诈骗：什么是网络钓鱼？
- 2026年其他事件：数据泄露和网络攻击列表（日本及全球）
- 面向运营者：组织最低安全基线 / 安全资产清单