Pembobolan Data iRhythm Juni 2024: Apa yang Perlu Diketahui Pasien Jantung

iRhythm Technologies, perusahaan perangkat medis yang terkenal dengan patch pemantauan jantung Zio, telah mengungkapkan insiden keamanan siber yang terkait dengan serangan pada Juni 2024. Pembobolan ini melibatkan akses tidak sah ke data yang disimpan di aplikasi bisnis tertentu yang dihosting oleh pihak ketiga, sehingga menimbulkan pertanyaan serius tentang bagaimana informasi kesehatan sensitif diamankan di seluruh ekosistem digital yang mendukung perangkat medis modern.

Pengungkapan ini menempatkan iRhythm di antara daftar perusahaan layanan kesehatan yang terus bertambah, yang menghadapi penyusupan tidak sah bukan melalui sistem klinis inti mereka, melainkan melalui jaringan vendor dan platform cloud di sekitarnya.

Apa yang Terjadi dalam Insiden Juni 2024

Menurut pengungkapan tersebut, iRhythm mengidentifikasi aktivitas tidak sah yang memengaruhi data yang dipelihara pada aplikasi bisnis yang dihosting oleh pihak ketiga. Perusahaan mengaktifkan rencana penanganan keamanan sibernya setelah menemukan pembobolan ini. Laporan publik menunjukkan bahwa serangan teridentifikasi pada 8 Juni 2024, dan pengungkapan resmi menyusul tak lama kemudian.

Informasi yang berpotensi terekspos dalam pembobolan ini mencakup data pribadi dan medis sensitif: nomor Jaminan Sosial (SSN), nomor rekam medis, informasi diagnosis, dan detail asuransi kesehatan. Bagi pasien jantung, ini bukan sekadar masalah privasi. Ini adalah risiko identitas finansial dan medis. Rekam medis yang dicuri dapat digunakan untuk menagih penagihan asuransi secara curang, mendapatkan obat resep, atau membuka fasilitas kredit.

Ini bukan pertama kalinya iRhythm berhadapan dengan aktor ancaman yang menargetkan data pasiennya. Perusahaan itu kemudian dihantam oleh serangan ransomware terpisah pada tahun 2025 yang melibatkan rekayasa sosial dan permintaan tebusan, yang menunjukkan bahwa perusahaan tetap menjadi target yang gigih bagi penjahat siber yang menganggap data pasien jantung sangat bernilai.

Mengapa Perangkat IoT Medis Menciptakan Risiko Privasi yang Unik

Patch Zio adalah perangkat pemantauan EKG jarak jauh yang mengirimkan data klinis melalui infrastruktur yang terhubung. Konektivitas itulah yang membuatnya berguna bagi para klinisi dan sekaligus menciptakan paparan risiko bagi pasien. Perangkat itu sendiri mungkin bukan titik lemahnya; platform pihak ketiga yang menyimpan, mengirimkan, atau memproses data yang dihasilkan oleh perangkat tersebut dapat menimbulkan kerentanan yang tidak sepenuhnya dikendalikan oleh pasien maupun dokternya.

Pola ini umum terjadi di seluruh perangkat kesehatan yang terhubung. Semakin banyak titik sentuh antara data kesehatan mentah pasien dan laporan klinis akhir, semakin banyak pula peluang bagi pihak tidak sah untuk mencegat atau mengekstraksi informasi tersebut. Kerangka regulasi seperti HIPAA mewajibkan entitas yang tercakup dan mitra bisnis mereka untuk menjaga pengamanan, tetapi kepatuhan tidak sama dengan keamanan, dan audit sering kali tertinggal dari metode serangan di dunia nyata.

Organisasi layanan kesehatan telah menghadapi tekanan yang meningkat dari penjahat siber setidaknya sejak gangguan besar di Change Healthcare pada awal 2024, yang memperlihatkan betapa saling terhubungnya rantai pasokan layanan kesehatan. Penyedia pemantauan jantung seperti iRhythm berada dalam ekosistem yang sama.

Apa Artinya Ini Bagi Anda

Jika Anda adalah pasien iRhythm saat ini atau sebelumnya, informasi Anda mungkin telah terekspos dalam insiden ini. Meskipun Anda belum menerima pemberitahuan resmi, ada baiknya mengambil langkah pencegahan sekarang ketimbang menunggu.

Pertama, periksa Pernyataan Penjelasan Manfaat (Explanation of Benefits) asuransi kesehatan Anda untuk layanan atau resep yang tidak Anda terima. Pencurian identitas medis sering tidak terdeteksi selama berbulan-bulan karena korban jarang meneliti catatan asuransi mereka seperti memeriksa laporan bank.

Kedua, pertimbangkan untuk melakukan pembekuan kredit (credit freeze) di biro kredit utama. Nomor Jaminan Sosial yang digabungkan dengan data rekam medis sudah cukup untuk membuka fasilitas kredit baru atas nama Anda.

Ketiga, berhati-hatilah tentang cara Anda mengakses catatan kesehatan pribadi secara daring. Masuk ke portal pasien melalui jaringan Wi-Fi publik yang tidak aman membuka sesi Anda terhadap penyadapan. Menggunakan VPN saat mengakses portal layanan kesehatan apa pun menambahkan lapisan enkripsi antara perangkat Anda dan jaringan, mengurangi risiko pihak ketiga di jaringan yang sama dapat mengamati aktivitas Anda atau menangkap kredensial.

Keempat, waspadai upaya phishing. Setelah pembobolan, penyerang sering menggunakan data yang dicuri untuk menyusun penipuan lanjutan yang meyakinkan. Email yang merujuk pada penyedia medis atau perusahaan asuransi Anda yang sebenarnya belum tentu sah.

Langkah-Langkah yang Dapat Diambil

Periksa catatan asuransi Anda untuk klaim penipuan yang terjadi sejak pertengahan 2024.
Bekukan kredit Anda di Equifax, Experian, dan TransUnion jika nomor Jaminan Sosial Anda mungkin terekspos.
Gunakan VPN setiap kali Anda masuk ke portal pasien atau platform rekam medis, terutama di jaringan seluler atau publik.
Aktifkan autentikasi multi-faktor pada semua akun layanan kesehatan dan asuransi yang mendukungnya.
Bersikap skeptis terhadap setiap komunikasi yang merujuk pada iRhythm, perawatan jantung Anda, atau asuransi kesehatan Anda dalam beberapa minggu mendatang.

Pembobolan data iRhythm Juni 2024 adalah pengingat jelas bahwa data pribadi yang dihasilkan oleh perangkat medis yang terhubung tidak tersimpan rapi di dalam perangkat tersebut. Pasien yang menggunakan alat pemantauan jarak jauh berhak mengetahui bagaimana data mereka disimpan, siapa yang dapat mengaksesnya, dan perlindungan apa yang diterapkan jika sistem tersebut diretas. Tetap terinformasi dan mengambil langkah proaktif tetap menjadi pertahanan paling efektif yang tersedia bagi individu yang terkena dampak pembobolan yang tidak dapat mereka cegah.