医療機器企業iRhythmでデータ侵害、少なくとも36万人に影響

医療機器プロバイダーのiRhythmは、ハッカーに個人情報を盗まれたとして、36万人以上に通知を行っています。

同社によると、このデータ侵害は6月8日に確認されました。被害を受けたのは、iRhythmの一部情報を保管していた、サードパーティがホストする業務アプリケーションです。詳細は同社の発表で明らかにされています。

iRhythmが調査を進めたところ、ハッカーは6月3日から6月8日にかけて、影響を受けたアプリケーションから患者データにアクセスし、外部に持ち出していたことが判明しました。

侵害された情報には、患者の氏名、住所、メールアドレス、生年月日、電話番号のほか、アカウント番号、シリアル番号、保険番号、サービス提供日といったiRhythmのアカウント情報およびデバイス情報が含まれます。

iRhythmが先週、複数の州の規制当局に提出したデータ侵害通知によると、少なくとも36万人（テキサス州で29万8,647人、サウスカロライナ州で6万9,526人）が影響を受けました。影響を受けた患者の総数は、これを大幅に上回る可能性があります。

同社は米証券取引委員会（SEC）への6月の提出書類で、ハッカーが6月9日に接触してきたと説明しています。ハッカーは、身代金が支払われなければ盗んだ情報をオンラインで公開すると脅迫していました。

iRhythmは先週、盗まれた情報が「個人情報の盗用に使われた、または今後使われるという証拠は現時点で確認していない」と述べました。この説明からは、同社が恐喝犯の要求に応じた可能性がうかがえます。

同社は「iRhythmが以前に報告したとおり、当社の製品、臨床・医療機器システム、顧客との接続、製造・流通業務、患者の安全、そして患者のニーズに応える能力のいずれにも、影響は確認されていません」と述べています。

さらに、このインシデントが同社の財務状況や経営成績に重大な影響を及ぼす可能性は、合理的に見て高くないとしています。

SecurityWeekは、データ侵害に関する追加情報を求めてiRhythmにメールで問い合わせました。同社から回答があり次第、記事を更新します。

iRhythmは自社を、装着型の心臓モニタリング用バイオセンサーとクラウドベースのデータ分析を組み合わせ、心臓データを臨床で活用できる情報へ変えるデジタルヘルスケア企業と位置づけています。