Le fournisseur de solutions de surveillance cardiaque iRhythm a été victime d'un vol de données suivi d'une tentative de chantage.
Dans un document déposé auprès de la Securities and Exchange Commission (SEC), iRhythm a révélé avoir été contactée le 9 juin par une personne affirmant avoir dérobé des informations sensibles, notamment des données exclusives, des informations médicales protégées (PHI) de patients et d'autres données à caractère personnel. Cette personne a exigé une rançon en échange de la non-divulgation de ces données.
iRhythm propose des services de surveillance et d'analyse cardiaques ambulatoires (notamment grâce au patch Zio) et aurait traité plus de deux milliards d'heures de données cardiaques provenant de plus de douze millions de patients.
Dans son rapport, la société a indiqué que les données avaient été obtenues par le biais d'attaques d'ingénierie sociale et provenaient de « certaines applications professionnelles hébergées par des tiers », sans donner plus de précisions sur le volume des données concernées.
Sur son propre site web, iRhythm ne donne pas non plus beaucoup de détails sur la nature des données volées, mais semble indiquer qu'aucune donnée financière n'a été compromise :
« Nous n'avons constaté aucun impact sur nos produits, nos systèmes cliniques ou nos dispositifs médicaux, nos relations avec nos clients, nos activités de fabrication et de distribution, la sécurité des patients ou notre capacité à répondre aux besoins des patients. De plus, nous ne stockons ni ne conservons aucune information relative aux comptes financiers individuels ni aux cartes de paiement. »
« Alors que nous menons activement notre enquête, nous informerons les personnes concernées par cet incident conformément à la législation en vigueur et prendrons les mesures nécessaires pour les protéger et remédier aux conséquences qu’elles subissent. »
Toutefois, le document déposé auprès de la SEC précise qu'iRhythm a estimé que cet incident était grave, « compte tenu du volume des données potentiellement concernées ». Si l'on ajoute à cela les affirmations des extorqueurs selon lesquelles ils seraient en possession des données médicales des patients, cette violation mérite d'être prise au sérieux si vous avez déjà utilisé les services d'iRhythm.
Même en l'absence de données de paiement, les violations de données dans le secteur de la santé ont de graves répercussions :
- Les pirates peuvent créer des e-mails, des SMS ou des appels très convaincants faisant référence à des procédures spécifiques ou à des épisodes de surveillance (par exemple, « concernant votre récent enregistrement de patch Zio ») afin d'inciter les patients à divulguer davantage de données ou à régler de fausses factures.
- Les données compromises peuvent servir à créer une fausse identité, à commettre une fraude à l'assurance ou à usurper une identité médicale.
- La divulgation d'informations relatives à la santé cardiaque ou à d'autres aspects de la santé peut être un sujet extrêmement sensible et avoir des répercussions sur l'emploi ou l'assurance, en particulier si ces données sont rendues publiques ou vendues à des courtiers en données.
Les données issues de violations de données dans le secteur de la santé ont tendance à circuler pendant des années, et les victimes peuvent être confrontées à des tentatives sporadiques de fraude et d'hameçonnage bien après que les gros titres aient disparu des journaux.
Comment rester en sécurité
Si vous avez utilisé les services d'iRhythm, surveillez votre courrier postal, vos e-mails et les portails patients pour recevoir les notifications officielles de violation de données émanant d'iRhythm ou de votre prestataire de soins de santé.
Aux États-Unis, les violations de données médicales protégées qui répondent à certains critères doivent être signalées aux patients et aux autorités de régulation. iRhythm s'est engagé à « informer les personnes concernées par cet incident conformément à la législation en vigueur et à prendre les mesures nécessaires pour les protéger et remédier aux conséquences qu'elles subissent ».
Pour éviter de tomber entre les mains des hameçonneurs et des escrocs :
- Lorsque vous recevez un message concernant la violation de données, vérifiez par d'autres moyens qu'il provient bien d'iRhythm. Rendez-vous directement sur le site web officiel d'iRhythm ou sur le portail patient, ou appelez un numéro de téléphone connu pour vous assurer de l'authenticité du message.
- Méfiez-vous particulièrement des e-mails ou des SMS qui prétendent vous proposer une indemnisation, un remboursement ou tout autre avantage financier en lien avec cet incident.
- Modifiez les mots de passe de vos portails associés à iRhythm ainsi que ceux de vos portails patients en cardiologie ou à l'hôpital, surtout si vous avez utilisé ces mêmes mots de passe ailleurs.
- Connectez-vous au portail de votre assureur santé et vérifiez régulièrement l'état de vos demandes de remboursement.
- Si vous remarquez quelque chose de suspect, signalez-le immédiatement à votre assureur et à votre prestataire, et demandez-leur de signaler votre compte comme potentiellement victime d'une usurpation d'identité.
- Ne communiquez pas d'informations personnelles ou financières par téléphone simplement parce que votre interlocuteur connaît des détails vous concernant, qu'il a peut-être obtenus à partir de données volées.
Soyons réalistes, une fenêtre de navigation privée a ses limites.
Fuites de données, commerce sur le dark web, fraude à la carte de crédit. Malwarebytes Identity Theft surveille tous ces risques, vous alerte rapidement et inclut une assurance contre l'usurpation d'identité.
