Povreda podataka u tvrtki iRhythm iz lipnja 2024.: Što srčani bolesnici trebaju znati
iRhythm Technologies, tvrtka za medicinske uređaje nadaleko poznata po svojim Zio srčanim monitoring flasterima, objavila je incident kibernetičke sigurnosti povezan s napadom iz lipnja 2024. Povreda je uključivala neovlašteni pristup podacima pohranjenima u određenim poslovnim aplikacijama koje hostiraju treće strane, što otvara ozbiljna pitanja o tome kako se osjetljive zdravstvene informacije osiguravaju unutar digitalnih ekosustava koji podržavaju moderne medicinske uređaje.
Ova objava svrstava iRhythm na rastući popis zdravstvenih tvrtki koje su se suočile s neovlaštenim upadima ne putem svojih osnovnih kliničkih sustava, već kroz mrežu dobavljača i cloud platformi koje ih okružuju.
Što se dogodilo u incidentu iz lipnja 2024.
Prema objavi, iRhythm je identificirao neovlaštenu aktivnost koja utječe na podatke održavane na poslovnim aplikacijama hostiranima kod trećih strana. Tvrtka je po otkrivanju povrede aktivirala svoj plan odgovora na kibernetičku sigurnost. Javna izvješća pokazuju da je napad identificiran 8. lipnja 2024., a formalna objava uslijedila je ubrzo nakon toga.
Informacije potencijalno izložene u povredi uključuju osjetljive osobne i medicinske podatke: brojeve socijalnog osiguranja, brojeve medicinske dokumentacije, informacije o dijagnozama i podatke o zdravstvenom osiguranju. Za srčane bolesnike ovo nije samo pitanje privatnosti. To je financijski i medicinski identitetski rizik. Ukradeni zdravstveni kartoni mogu se koristiti za lažnu naplatu osigurateljima, dobivanje lijekova na recept ili otvaranje kreditnih linija.
Ovo nije prvi susret tvrtke iRhythm s akterima prijetnji koji ciljaju podatke njezinih pacijenata. Tvrtka je kasnije pogođena zasebnim ransomware napadom 2025. godine koji je uključivao socijalni inženjering i zahtjev za otkupninom, što sugerira da je tvrtka ostala trajna meta za kibernetičke kriminalce koji podatke srčanih bolesnika smatraju posebno vrijednima.
Zašto medicinski IoT uređaji stvaraju jedinstvene rizike za privatnost
Zio flaster je udaljeni EKG monitoring uređaj koji prenosi kliničke podatke putem povezane infrastrukture. Ta povezanost je upravo ono što ga čini korisnim kliničarima i upravo ono što stvara izloženost za pacijente. Sam uređaj možda nije slaba točka; platforme trećih strana koje pohranjuju, prenose ili obrađuju podatke koje generiraju ovi uređaji mogu unijeti ranjivosti koje niti pacijent niti njihov liječnik u potpunosti ne kontroliraju.
Ovaj obrazac je uobičajen kod povezanih zdravstvenih uređaja. Što više dodirnih točaka postoji između sirovih zdravstvenih podataka pacijenta i konačnog kliničkog izvješća, to je više prilika za neovlaštenu stranu da presretne ili izvuče te informacije. Regulatorni okviri poput HIPAA-e zahtijevaju od obuhvaćenih subjekata i njihovih poslovnih suradnika da održavaju zaštitne mjere, ali sukladnost nije jednaka sigurnosti, a revizije često zaostaju za stvarnim metodama napada.
Zdravstvene organizacije suočavaju se s eskalirajućim pritiskom kibernetičkih kriminalaca barem od velikog poremećaja u Change Healthcareu početkom 2024. godine, koji je pokazao koliko je zdravstveni opskrbni lanac doista međusobno povezan. Pružatelji srčanog monitoringa poput iRhythma nalaze se unutar tog istog ekosustava.
Što ovo znači za vas
Ako ste sadašnji ili bivši pacijent tvrtke iRhythm, vaši podaci možda su bili izloženi u ovom incidentu. Čak i ako još niste primili formalnu obavijest, vrijedi sada poduzeti mjere opreza umjesto da čekate.
Prvo, pregledajte svoje izvatke Objašnjenja naknada zdravstvenog osiguranja za bilo koje usluge ili recepte koje niste primili. Krađa medicinskog identiteta često prolazi neotkriveno mjesecima jer žrtve rijetko pregledavaju svoju dokumentaciju osiguranja onako kako bi pregledale bankovni izvod.
Drugo, razmislite o postavljanju zamrzavanja kredita kod glavnih kreditnih biroa. Broj socijalnog osiguranja u kombinaciji s podacima iz medicinske dokumentacije dovoljan je za otvaranje novih kreditnih linija na vaše ime.
Treće, budite oprezni u vezi s načinom na koji pristupate svojim osobnim zdravstvenim kartonima na internetu. Prijava na portale za pacijente putem neosiguranih javnih Wi-Fi mreža izlaže vašu sesiju presretanju. Korištenje VPN-a prilikom pristupanja bilo kojem zdravstvenom portalu dodaje sloj enkripcije između vašeg uređaja i mreže, smanjujući rizik da treća strana na istoj mreži može promatrati vašu aktivnost ili uhvatiti vjerodajnice.
Konačno, pazite na pokušaje krađe identiteta (phishing). Nakon povrede podataka, napadači često koriste ukradene podatke za izradu uvjerljivih naknadnih prijevara. E-poruka koja spominje vašeg stvarnog pružatelja zdravstvenih usluga ili osiguravajuće društvo nije nužno legitimna.
Provedivi zaključci
- Provjerite svoju dokumentaciju osiguranja za lažne zahtjeve unatrag do sredine 2024. godine.
- Zamrznite svoj kredit u Equifaxu, Experianu i TransUnionu ako je vaš broj socijalnog osiguranja možda bio izložen.
- Koristite VPN kad god se prijavljujete na portal za pacijente ili platformu zdravstvenih kartona, osobito na mobilnim ili javnim mrežama.
- Omogućite višefaktorsku autentifikaciju na svim zdravstvenim računima i računima osiguranja koji je podržavaju.
- Budite skeptični prema svakom kontaktu koji spominje iRhythm, vašu srčanu skrb ili vaše zdravstveno osiguranje u nadolazećim tjednima.
Povreda podataka u tvrtki iRhythm iz lipnja 2024. jasan je podsjetnik da osobni podaci koje generiraju povezani medicinski uređaji ne ostaju uredno unutar tih uređaja. Pacijenti koji koriste alate za udaljeno praćenje imaju pravo znati kako se njihovi podaci pohranjuju, tko im može pristupiti i koje zaštite postoje kada su ti sustavi kompromitirani. Informiranost i poduzimanje proaktivnih koraka ostaje najučinkovitija obrana dostupna pojedincima uhvaćenima u povredama koje nisu mogli spriječiti.
