適用對象：佩戴過 iRhythm Zio 監測器或在 iRhythm 登記為患者的美國人（以及其他任何人），以及在雲端業務應用程式中保存患者資料的機構。本文依據 iRhythm Technologies 自己的公告，不涉及攻擊手法。
持續發展中：該組織有新公告時，本文將隨之更新
截至 2026 年 10 月 30 日尚不明
- 公司自己公布的受影響總人數
- 涉及哪些第三方應用程式
- 社交工程具體是如何進行的
- 是否有資料被公布或出售
- 是否會提供免費信用監控
iRhythm 在 2026年10月2日的公告中表示，正在通知受影響人員，且沒有證據顯示存在身分盜用方面的濫用。公司沒有說明何時發布更多資訊。標題中的人數來自媒體報導的 HHS 列示，而不是公司的聲明。
Zio 患者今天該做什麼
不要相信意外訊息中的連結或電話號碼
姓名、地址、電子郵件、電話號碼、保險號碼與服務日期合在一起，會使有關「您的 Zio 監測器」「未付餘額」或「保險理賠」的訊息看起來很真實。這是一般性推論，並不是說已有此類訊息被發送。
如果訊息要求您登入、付款、確認保險號碼或回電，請不要使用訊息中的內容。請自行開啟保險公司或 iRhythm 的網站，或使用保險卡上的電話號碼（請參閱什麼是網路釣魚？）。
查看保險公司的對帳單，留意您不認得的服務
外洩項目包括保險號碼。一般而言，被盜的保險號碼可能被用來以他人名義為醫療服務或器材開立帳單，這稱為醫療身分盜用。iRhythm 的公告建議採取相應預防措施。
請登入保險公司的網站，查看近期的給付說明對帳單。對於您沒有接受過的服務，請向保險公司回報。
考慮設定信用凍結與詐騙警示
公告提到了詐騙警示、安全凍結與免費信用報告。在美國，向三家信用機構分別設定安全凍結是免費的，在您解除之前，可以阻止大多數以您名義開立的新信用帳戶。
據報導，公告中沒有提及免費信用監控，所以不要等待提供後再行動。美國聯邦貿易委員會的網站 IdentityTheft.gov 說明了具體步驟。
預期您的出生日期與保險號碼將在很長一段時間內仍可被利用
與密碼不同，出生日期無法更改。保險號碼只能由保險公司更改。請持續留意對帳單與信用報告數個月，而不是幾天。
外洩項目中未列出密碼。如果您在多個帳戶中重複使用密碼，使用密碼管理工具仍是切實可行的解決辦法。
只使用官方公告中的聯絡方式
公司的公告提供了一個免付費服務專線 1-844-770-7175，美國東部時間週一至週五 8:00 至 20:00，假日除外。請對照 iRhythm 自己網站上的公告核實該號碼，而不是對照您收到的訊息中的號碼。
事件經過（來自 iRhythm 的公告與申報文件）
以下經過來自 iRhythm 於 2026年10月2日發布的公告。標示「據報導」的內容來自媒體對公司向 SEC 提交的文件以及 HHS 列示的報導。
2026年6月3日至8日
據公司的鑑識調查，資料從部分託管於第三方的業務應用程式中被存取與下載。6月8日
iRhythm 偵測到未經授權的存取（公告稱「大約在」這一日期），並啟動了事件應變計畫。6月9日（據報導）
據 CyberInsider 與 HIPAA Journal 報導，有一方聯絡了 iRhythm，聲稱已取得資料並索要付款。6月15日
iRhythm 通知了 SEC。公司表示預計不會對其財務造成重大影響，並在 10 月重申了這一看法。10月2日
發布更新後的公告；開始通知受影響人員，對象是公司持有其聯絡方式的人。10月29日（據報導）
SecurityWeek 與 CyberInsider 報導，該事件在 HHS 外洩事件入口網站上列示為 8,179,772 人。
2026年6月3日–8日
資料從託管於第三方的業務應用程式中被存取與下載（公司）
↓
約6月8日
iRhythm 偵測到該活動（公司）
↓
6月15日
向 SEC 提交文件
↓
10月2日
更新公告；開始通知受影響人員（公司）
↓
10月29日
SecurityWeek 與 CyberInsider 報導 HHS 列示為 8,179,772 人（並非公司的聲明）
- 公司
- iRhythm Technologies, Inc.（美國），Zio 穿戴式心臟監測器製造商
- 資料所在位置
- 部分託管於第三方的業務應用程式。未指名這些應用程式
- 被取得的項目
- 患者姓名；聯絡資訊（地址、電子郵件地址、電話號碼）；iRhythm 患者帳號；iRhythm 裝置序號；患者保險號碼；服務日期；出生日期
- 分類
- 公司表示資料包括 HIPAA 所定義的受保護健康資訊
- 未儲存
- 公司表示不儲存個人金融帳戶或支付卡資訊
- 原因
- 公告稱為未經授權的存取。媒體報導稱 SEC 申報文件將其稱為社交工程，這在公告中沒有。細節未公開
- 據公司表示未受影響
- 產品、臨床或醫療器材系統、客戶連線、製造與配送、患者安全
- 因應
- 啟動事件應變計畫，聘請外部網路安全專業人員，已完成鑑識調查，並審查資料以確定內容
已知與未知
截至 2026 年 10 月 30 日的狀態。iRhythm 發布更多資訊後，我們將更新狀態欄。
| 項目 | 公告或申報文件的說法 | 狀態 |
|---|---|---|
| 存取與下載的期間 | 2026年6月3日至6月8日 | 已確認（公司） |
| 偵測 | 2026年6月8日前後 | 已確認（公司） |
| 資料項目 | 姓名、聯絡資訊、患者帳號、裝置序號、保險號碼、服務日期、出生日期 | 已確認外洩（公司） |
| 密碼 | 未列出 | 未提及 |
| 支付卡與銀行帳戶資料 | 公司表示不儲存 | 不包括（公司） |
| 心臟監測結果與醫療器材資料 | 未列出；公司表示對臨床或醫療器材系統沒有影響 | 未提及（臨床系統：未發現影響，公司） |
| 原因 | 公告稱為對託管於第三方的業務應用程式的未經授權存取。「社交工程」是 BleepingComputer 等媒體對 SEC 申報文件的描述；公告中沒有 | 據報導（公告中沒有）；細節未公開 |
| 人數 | iRhythm 未公布總數；據 SecurityWeek 與 CyberInsider，HHS 列示為 8,179,772 人 | 據報導（並非來自公司） |
| 州級人數 | 德州 298,647 人，南卡羅來納州 69,526 人（據 The Record 報導的州級申報；未相加） | 據報導 |
| 索要付款 | 據媒體報導，有一方索要付款 | 據報導 |
| 資料的公布或出售 | 公告中未提及 | 未公開 |
| 資料濫用 | 公司表示沒有證據顯示存在身分盜用方面的濫用 | 未發現證據（公司） |
| 免費信用監控 | 據報導，公告中未提及 | 未提及 |
| 財務影響 | 公司表示發生重大財務影響的可能性不大。另據 BleepingComputer 報導，公司在 6 月 10 日因涉及的資料量而認定該事件具有重大性 | 公司的看法；據報導 6 月 10 日作出認定 |
如何解讀這些數字
8,179,772 這一數字是兩家媒體所述的 HHS 入口網站列示。我們沒有看到 iRhythm 自己公布總數。德州與南卡羅來納州的人數要小得多，因為各州的申報只統計該州居民。請勿將各州數字相互相加，也不要加到 HHS 的數字上。
這些資料組合可以被用來做什麼
一般而言，下列組合可能被如下所述濫用。這並不表示本案中已經發生了這些情況。
- 姓名＋保險號碼＋出生日期：可能被用來以他人名義向保險公司為醫療服務開立帳單（醫療身分盜用），或通過薄弱的身分查核
- 姓名＋聯絡方式＋服務日期＋裝置序號：使人可以寫出一則關於「您的監測器」或「您最近的服務」、看起來像是來自服務提供者或帳單部門的訊息
- 出生日期＋地址：許多身分查核都會詢問的資訊，所以值得考慮設定信用凍結
給在雲端業務應用程式中保存患者資料的機構
據公司表示，資料來自託管於第三方的業務應用程式，並在被偵測到之前的數天內被下載。除「社交工程」外，存取是如何取得的並未公開，因此本節只涉及任何設定類似的機構都可以檢查的要點。我們不評估 iRhythm 的措施。
列出哪些業務應用程式保存患者識別資訊，以及誰可以從中匯出
患者姓名、保險號碼與裝置序號不僅可能存在於臨床系統中，也可能存在於帳單、支援與排程工具中。請列出保存這些資訊的每個應用程式，以及誰有權匯出或產生報表。公告在這裡劃了一條線：公司表示臨床與裝置系統未受影響，而業務應用程式受到了影響。
對大量匯出與下載發出警示
公司表示，資料在數天內（6月3日至6月8日）被存取與下載。大多數業務應用程式都可以記錄批次匯出。當某個帳戶下載的紀錄遠超其正常使用量時，應向指定人員發出警示，並確保有人可以在任何時間停用該帳戶（背景：速率限制與濫用控制）。
本站觀點：從偵測到通知之間的間隔也是暴露的一部分
公司表示在 6 月偵測到該活動，並在 10 月開始通知人員，HHS 的人數則更晚才出現。對患者而言，這意味著數個月裡他們的資訊在別人手中而自己並不知情。長期留意對帳單與信用報告是明智的因應。
來源（公開紀錄）
本文事實來自以下公開來源。對於未公開的方法、應用程式或原因，不作推測。
- iRhythm Technologies，「Notice of Data Event」（更新後的公告，2026年10月2日）— irhythmtech.com
- BleepingComputer 關於 iRhythm 於 2026年6月15日向 SEC 提交文件的報導（2026年6月16日）— bleepingcomputer.com
- SecurityWeek，「HHS Filing Puts iRhythm Data Breach Toll at 8.2 Million」（2026年10月29日）— securityweek.com
- CyberInsider，「iRhythm's June data breach has impacted over 8.18 million people」（2026年10月29日）— cyberinsider.com
- The Record，德州與南卡羅來納州的州級人數（2026年10月9日）— therecord.media
- HIPAA Journal，僅用於 6 月 9 日的聯絡（2026年10月19日）— hipaajournal.com
標題中的人數依據上述媒體對 HHS 入口網站列示的報導；我們沒有親自閱讀該入口網站的條目。
更新紀錄
2026-10-30：第一版，依據 iRhythm 於 10 月 2 日發布的公告，以及媒體對 SEC 申報文件與 HHS 列示（10月29日）的報導。iRhythm 公布總數或更多細節時，我們將更新本文。
延伸閱讀
- 另一起涉及健康保險資料的美國醫療外洩事件：AdaptHealth（約 410 萬人）
- 概覽：2026年美國醫療資料外洩事件
- 外洩之後的詐騙：什麼是網路釣魚？ / 智慧型手機安全基礎
- 其他2026年事件：2026年資料外洩與網路攻擊事件