Zio装着型心電計をはじめとするウェアラブル心臓モニタリング機器を手がけるヘルステック企業のiRhythmが、2026年6月に発生したハッキングとデータ窃取の被害を受けた個人に対し、通知書の送付を始めました。
データの精査により、影響を受けたデータには患者の氏名、住所、電話番号、メールアドレス、患者アカウント番号、デバイスのシリアル番号、保険番号、生年月日、サービス提供日が含まれることが確認されました。通知書を発送した時点で、iRhythmは今回のインシデントによる患者データの不正利用を把握していません。同社は、自社製品、臨床・医療機器システム、顧客との接続、患者の安全のいずれにも影響はなかったと説明しています。また、このインシデントが同社の財務状況や経営成績に重大な影響を及ぼすとは考えていないとしています。
iRhythmは、保有する個人情報および保護対象保健情報のプライバシーとセキュリティの維持に努めており、データのプライバシーとセキュリティに関する方針、手順、技術的対策を定期的に評価していると述べました。あわせて、被害を受けた個人への影響を軽減するための措置も講じたとしています。
規制当局には報告済みですが、米保健福祉省（HHS）公民権局（OCR）の漏えい公表ポータルにはまだ掲載されていません。そのため、被害者の総数は現時点では不明です。ただ、テキサス州とサウスカロライナ州だけでも36万人超が影響を受けており、被害が数十万人規模に及ぶことは明らかです。
2026年6月18日：心臓モニタリング機器メーカーがサイバー攻撃とデータ漏えいを公表
上場企業で心臓モニタリング機器メーカーのiRhythm Holdings Inc.は、2026年6月8日に最初に確認されたサイバーセキュリティインシデントについて、米証券取引委員会（SEC）に報告しました。SECへの提出書類によると、同社はサードパーティのプラットフォーム上でホストされている一部の業務アプリケーションに対する不正アクセスを確認しました。同社はサイバーインシデント対応計画を発動し、不正な活動の性質と範囲を特定するための調査を開始しました。不正アクセスの確認から1日後の2026年6月9日には、アプリケーションから機密データを窃取したと主張する攻撃者から連絡があり、データの公開を阻止したければ支払うよう要求されました。
企業の概要
カリフォルニア州サンフランシスコに本社を置くiRhythmは、米国と欧州の約800万人の患者が使用する心臓モニタリング機器と、不整脈患者の診断や追跡に用いるクラウド型データ分析サービスを提供しています。攻撃者は、iRhythmのアプリケーションから独自データと患者データを窃取したと主張しています。
漏えいの規模と影響を受けたデータ
社内調査では、攻撃者が個人情報や保護対象保健情報を含む機密データを窃取したことが確認されました。被害者の数はiRhythmからまだ確認されていません。ただ、同社はForm 8-Kで、攻撃で窃取された可能性のあるデータ量が多いことから、重大なインシデントだと位置づけています。
影響が確認されたシステムと影響のなかったシステム
iRhythmは、今回のインシデントによる影響として、自社製品、臨床・医療機器システム、患者の安全、製造、流通業務、財務報告システム、患者のニーズに応える能力のいずれについても確認していません。
攻撃者はソーシャルエンジニアリングによって、サードパーティがホストする一部の業務アプリケーションにアクセスしました。同社の医療機器システムと顧客との接続は影響を受けておらず、同社は個人の金融口座情報やペイメントカード情報を保持していません。iRhythmは引き続きデータ漏えいを調査しており、侵害されたデータの種類はまだ公表していません。
財務面と評判への影響の開示
SECへの提出書類には、攻撃者に支払いを行ったかどうか、あるいは支払いについて交渉しているかどうかは記載されていません。同社は、重大なサイバーセキュリティインシデントではあるものの、財務状況や経営成績に重大な影響を及ぼすとは考えていないとしています。一方で、この攻撃が自社のブランドや評判、そして機器に対する患者の信頼に深刻な打撃を与える可能性があるとも警告しました。同社はサイバー保険に加入しており、今回のインシデントで生じた損失の一部が補償される可能性があります。
医療機器業界で最近発生した他のインシデント
医療機器メーカーでは最近、サイバー攻撃の被害が相次いで報告されています。UFP Technologiesは2026年2月に、企業データの窃取または破壊を伴う攻撃を受けました。Strykerは3月に約50テラバイトのデータが流出しました。Medtronicも3月に、約900万件の患者記録が関わる大規模なデータ窃取インシデントに見舞われています。
翻訳元: https://www.hipaajournal.com/irhythm-data-breach/
