適用對象：使用 Medtronic 醫療器材（例如心律調節器）的美國病患及其家屬，以及任何處理醫療器材病患資料的人員。本文依據 Medtronic 的官方聲明與 SEC 申報文件、美國各州檢察長的申報資料及通知函，以及美國機關（FTC、IRS 與 FDA 法規）的公開資訊撰寫。本文不涵蓋攻擊手法。
病患今天應該做什麼
不要改變器材的使用方式；有疑慮請諮詢醫師
Medtronic 在 2026 年 6 月 29 日的更新中重申，此事件並未影響任何 Medtronic 器材安全運作並提供預定療效的能力。您不需要因為外洩新聞而自行變更器材設定或取消看診。
如果您擔心器材本身，請與您的醫師或診所討論。該公司請醫師有疑問時聯絡當地的 Medtronic 代表。
查看您的信函，了解與您相關的範圍
該公司於 2026 年 6 月 29 日開始聯絡可能受影響的人員。向加州檢察長提交的通知函是寄給使用 Medtronic 醫療器材的病患。有問題請撥打 (888) 289-6806（週一至週五，美國東部時間上午 9 點至晚上 9 點）。
在期限前登記免費的 24 個月服務
信函提供 24 個月的免費信用監控、暗網監控及身分盜用復原服務。您的登記期限與啟用代碼都印在您自己的信函上。監控只會在事情發生後通知您，因此請搭配下一個步驟一起進行。
保護社會安全號碼：向三大信用機構申請凍結，並取得 IRS IP PIN
信用凍結是免費的，必須分別向 Equifax、Experian 和 TransUnion 各自申請。IRS IP PIN 是一組六位數號碼，可防止他人使用您的社會安全號碼申報稅務。若需要完整的美國檢查清單（包括兒童與家庭成員），請參閱DentaQuest 會員應採取的措施。
涉及健康相關資訊，因此請仔細檢視您的給付紀錄
FTC 將您未曾接受之服務的帳單或給付說明書，以及針對您並未積欠之醫療債務的催收電話，列為醫療身分盜用的徵兆。如果您發現這類情況，FTC 建議向相關醫療服務提供者與保險公司索取您的紀錄副本，並以書面方式向醫療服務提供者舉報錯誤。
對任何談及「您的器材」的來電或電子郵件，請回撥查證
外洩的資料包括聯絡與健康相關資訊，因此您使用器材的事實可能已被得知。像是「您的器材需要更新，請驗證您的身分」或「我們需要您的社會安全號碼以辦理保固」這類訊息，之所以聽起來可信，正是因為對方掌握了這些資訊。
信函本身也提醒民眾，對於索取個人資訊的非預期電子郵件、簡訊或電話要保持警覺。請掛斷電話，並改撥您已持有的號碼：信函上的號碼、器材 ID 卡上的號碼，或您醫師診所的號碼（請參閱什麼是網路釣魚？）。
企業 IT 系統 = 遭到存取
通知函中的資料：姓名、聯絡資訊、出生日期、社會安全號碼、健康相關資訊
該公司表示網路彼此分離
產品（器材）
尚未發現對安全運作與療效造成影響
製造與配銷
尚未發現影響
醫院網路
由各醫院自身的 IT 團隊管理
病患應採取的做法
繼續使用器材 → 以信用凍結及回撥官方號碼來保護外洩的資料（社會安全號碼、聯絡資訊）
發生了什麼事（依據 Medtronic 的聲明與各州申報文件）
以下內容取自 Medtronic 的官方聲明（2026 年 4 月 24 日，6 月 29 日更新）與 SEC 申報文件、向加州檢察長提交的通知函，以及印第安納州檢察長的外洩通報名單。
2026 年 4 月 13 日
依據通知函，未經授權的行為者開始存取部分企業 IT 系統的日期。4 月 15 日
該公司察覺部分企業 IT 系統有異常活動，並聘請第三方網路安全專家展開調查。4 月 19 日
依據通知函，為存取期間的最後一天。4 月 24 日
該公司發布聲明，並於同日將聲明附於向 SEC 提交的 Form 8-K。聲明表示，尚未發現對其產品、病患安全、與客戶的連線、製造與配銷，或財務報告系統造成影響。6 月 29 日
該公司更新聲明，並開始聯絡受影響的個人。印第安納州與加州的名單載明相同日期。
- 公司
- Medtronic Inc.（美國醫療器材製造商；其母公司 Medtronic plc 向 SEC 申報）
- 遭存取的範圍
- 部分企業 IT 系統中的資料
- 涉及的資訊（通知函）
- 姓名、聯絡資訊、出生日期、社會安全號碼、健康相關資訊
- 該公司持有資料的原因（通知函）
- 對使用 Medtronic 器材的病患，為提供重要的產品相關更新並履行法律義務而蒐集
- 尚未發現影響
- 產品安全；病患安全，包括任何器材安全運作並提供療效的能力；製造與配銷；滿足病患與客戶需求的能力
- 公開情況
- 該公司表示，沒有證據顯示資訊曾被公開張貼或暴露於網際網路上
- 公司回應
- 遏止損害、事件應變程序、外部專家、額外防護措施。公司表示已與執法機關合作，並正在通知相關監管機關
- 聯絡電話
- (888) 289-6806（週一至週五，美國東部時間上午 9 點至晚上 9 點）
如何解讀數字與地理範圍
本文採用 3,834,294，即印第安納州檢察長名單上的數字。網路上流傳較大的數字，但其來源是聲稱取得資料的一方，該公司並未確認這些數字。
該公司也未說明美國以外是否有人受到影響。我們查到的通知與申報文件都是向美國各州主管機關提出，我們並未找到針對日本器材使用者的通知。
為什麼器材製造商會有您的社會安全號碼？
許多病患會問，一家並非其醫院的公司，為何會持有他們的社會安全號碼。通知函本身回答了部分問題：蒐集病患資料是為了提供重要的產品相關更新，並履行法律義務。
其中一項背景是美國的器材追蹤制度。FDA 法規（21 CFR Part 821）涵蓋受 FDA 命令規範且符合特定條件的器材，例如植入超過一年，或失效時可能造成嚴重健康不良後果的器材。對於這類器材，製造商必須能夠將器材從工廠追溯到病患手中。
此制度的目的，是讓召回與病患通知等補救措施能夠運作。所需紀錄包括病患的姓名、地址、電話號碼，以及社會安全號碼（如有），並包括開立處方的醫師。
以上是對規定的一般說明。該公司尚未說明受影響的系統中包含哪些紀錄，但對病患而言，情況已相當清楚。
製造商持有、與器材分開的病患資料
- 姓名、地址、電話號碼（器材登錄、ID 卡、保固與支援）
- 出生日期與社會安全號碼（身分與法律紀錄）
- 健康相關資訊（例如您使用哪一種器材）
- 若遭暴露，可能被用於冒充身分及聽起來掌握內情的詐騙
器材本身
- 器材如何運作並提供療效
- 器材的弱點由製造商的產品安全資訊與您的診所處理
- 該公司表示，尚未發現對安全運作造成影響
- 外洩的病患名單本身，並不會讓任何人取得器材的控制權
本站看法：與其取消登錄，不如阻止外洩資料遭到濫用
FDA 規定允許病患拒絕為追蹤目的而釋出其姓名、社會安全號碼及其他可識別身分的資訊（21 CFR 821.55）。是否撤回，應與您的醫師共同決定，而不是單憑外洩事件就做決定。追蹤制度的存在，是為了讓召回與安全通知能送達您手中；而通知無法送達的風險，不同於社會安全號碼外洩的風險，無法靠凍結或 PIN 來化解。
因此，應針對每一類外洩的資料分別採取行動：
・社會安全號碼：以信用凍結與 IRS IP PIN 使其失去作用
・聯絡與健康相關資訊：對任何提及您器材的聯絡都應視為需要查證
・登錄資料：每當您搬家或更換電話號碼時，請保持資料更新
記住「器材安全是醫師負責的問題，而外洩的個人資料則由您自己以凍結等步驟保護」，有助於避免慌亂。
給持有病患資料的製造商與企業
該公司表示，其產品、製造與企業 IT 網路彼此分離。這對器材安全是重要的設計，但受影響的病患資料，正是企業 IT 中所持有的資料。對於存在於產品之外的病患資料，有三件事值得檢查。
盤點病患資料在產品之外存放的位置
器材登錄、保固、支援專線、應用程式帳號、臨床研究、行銷。請列出包含社會安全號碼或診斷資訊的病患資料，存放在產品安全審查未涵蓋的哪些地方。
做法與資安盤點相同：先記下資料位於何處、有多少筆紀錄，以及誰能存取。
區分哪些地方需要社會安全號碼，哪些地方不需要
將依法必須保存的紀錄，與可以只憑姓名與器材序號完成的工作（例如支援電話）加以區分，並減少保存社會安全號碼的系統數量。您不保存的資料，就不會外洩。
預先準備好「我的器材安全嗎？」的回答
該公司的聲明從首次揭露起，就針對產品影響與病患安全作出說明。擁有面向病患之產品的機構應假設：在企業 IT 事件之後，病患首先想知道的，就是他們的器材是否安全，並應準備好說明該答案的依據（例如網路分離）。
有關整體做法，請參閱機構的最低資安基準。
資料來源（公開紀錄）
本文內容依據以下公開資訊。聲稱取得資料的一方所提出的數字，以及外部估計值，均未採用。
- Medtronic，「Medtronic statement on unauthorized system access」（2026 年 4 月 24 日，6 月 29 日更新）— news.medtronic.com
- Medtronic plc，Form 8-K（2026 年 4 月 24 日，Exhibit 99.1）— sec.gov
- 加州檢察長，Medtronic Inc. 外洩通報（通知函範本，2026 年 6 月 29 日）— oag.ca.gov
- 印第安納州檢察長，「Data Breach Year to Date Report 2026」（Medtronic Inc：3,834,294 人受影響；通知函於 2026 年 6 月 29 日寄出）— in.gov
- Medtronic，「Product security」（產品安全資訊與聯絡方式）— medtronic.com
- 聯邦法規彙編，21 CFR Part 821（醫療器材追蹤：821.1、821.25、821.55）— ecfr.gov
- 美國聯邦貿易委員會（FTC），「What To Know About Medical Identity Theft」— consumer.ftc.gov /「Credit Freezes and Fraud Alerts」— consumer.ftc.gov / IdentityTheft.gov
- 美國國稅局（IRS），「Get an identity protection PIN」— irs.gov
更新紀錄
2026-09-30：首版，依據 Medtronic 的聲明（2026 年 4 月 24 日，6 月 29 日更新）與 SEC 申報文件、加州與印第安納州檢察長的公開資訊、FTC 與 IRS 的指引，以及 FDA 法規撰寫。若公司發布更多資訊，我們將予以更新。
延伸閱讀
- 完整美國檢查清單（凍結、IP PIN、兒童）：DentaQuest 外洩事件（社會安全號碼與 Medicaid 號碼）
- 駕照號碼外洩時還可以向哪裡通報：AssuranceAmerica 外洩事件（駕照號碼）
- 來自您從未往來過之公司的通知：Aesto Health 外洩事件（醫療紀錄檔案庫）
- 外洩事件後的詐騙手法：什麼是網路釣魚？
- 其他 2026 年資安事件：外洩與網路攻擊事件一覽（日本與全球）
- 給營運者：機構的最低資安基準 / 資安盤點