La società iRhythm, specializzata nel monitoraggio cardiaco, è stata vittima di un furto di dati seguito da un tentativo di estorsione.
In una comunicazione presentata alla Securities and Exchange Commission (SEC), iRhythm ha rivelato di essere stata contattata il 9 giugno da un soggetto che sosteneva di aver sottratto informazioni riservate, tra cui dati proprietari, informazioni sanitarie protette (PHI) dei pazienti e altri dati personali. Tale soggetto ha chiesto un riscatto in cambio della mancata divulgazione dei dati.
iRhythm offre servizi di monitoraggio e analisi cardiaca ambulatoriale (ad esempio tramite il cerotto Zio) e, secondo quanto riferito, ha elaborato oltre due miliardi di ore di dati relativi al battito cardiaco provenienti da più di dodici milioni di pazienti.
Nel documento presentato, la società ha dichiarato che i dati sono stati ottenuti tramite tecniche di ingegneria sociale e provengono da «alcune applicazioni aziendali ospitate da terze parti», senza fornire ulteriori dettagli sulla quantità di dati.
Sul proprio sito web, iRhythm non fornisce molti dettagli sulla natura dei dati rubati, ma sembra suggerire che nessun dato finanziario sia stato compromesso:
«Non abbiamo riscontrato alcun impatto sui nostri prodotti, sui nostri sistemi clinici o sui dispositivi medici, sui nostri rapporti con i clienti, sulle nostre attività di produzione e distribuzione, sulla sicurezza dei pazienti o sulla nostra capacità di soddisfare le loro esigenze. Inoltre, non conserviamo né archiviamo dati relativi ai conti finanziari individuali né informazioni sulle carte di pagamento.
"Nel corso delle indagini in corso, informeremo le persone coinvolte in questo incidente in conformità con la normativa vigente e adotteremo le misure necessarie per proteggerle e porre rimedio alle conseguenze che ne derivano."
Tuttavia, il documento depositato presso la SEC aggiunge che iRhythm ha ritenuto l'incidente rilevante, «alla luce del volume dei dati potenzialmente interessati». Se a ciò si aggiungono le affermazioni dei ricattatori, secondo cui sarebbero in possesso dei dati medici dei pazienti, la violazione diventa degna di nota per chiunque abbia utilizzato i servizi di iRhythm.
Anche in assenza di dati relativi ai pagamenti, le violazioni nel settore sanitario hanno gravi ripercussioni a valle:
- Gli hacker possono creare e-mail, SMS o chiamate molto convincenti che fanno riferimento a procedure specifiche o a episodi di monitoraggio (ad esempio, «in merito alla tua recente registrazione della patch Zio») per indurre i pazienti a fornire ulteriori dati o a pagare fatture false.
- I dati oggetto della violazione possono essere utilizzati per creare un'identità falsa, commettere frodi assicurative o perpetrare furti di identità in ambito sanitario.
- La divulgazione di informazioni relative alla salute cardiaca e ad altri aspetti sanitari può essere estremamente delicata e comportare conseguenze sul piano lavorativo o assicurativo, soprattutto se i dati vengono resi pubblici o venduti a società di intermediazione di dati.
I dati relativi alle violazioni nel settore sanitario tendono a circolare per anni, e le vittime possono trovarsi a dover affrontare sporadici tentativi di frode e phishing anche molto tempo dopo che la notizia è passata di moda.
Come stare al sicuro
Se avete utilizzato i servizi di iRhythm, tenete d'occhio la posta, le e-mail e i portali pazienti per eventuali notifiche ufficiali relative alla violazione da parte di iRhythm o del vostro operatore sanitario.
Negli Stati Uniti, le violazioni dei dati sanitari protetti che soddisfano determinati criteri devono essere segnalate ai pazienti e alle autorità di regolamentazione. iRhythm si è impegnata a «informare le persone coinvolte in questo incidente in conformità con la normativa vigente e ad adottare le misure necessarie per proteggerle e porre rimedio alle conseguenze subite».
Per evitare di cadere nelle mani di phisher e truffatori:
- Quando ricevi una comunicazione relativa alla violazione dei dati, verifica tramite altri canali che provenga effettivamente da iRhythm. Visita direttamente il sito web ufficiale di iRhythm o il portale pazienti, oppure chiama un numero di telefono che conosci per confermare l'autenticità della comunicazione.
- Prestino particolare attenzione alle e-mail o ai messaggi di testo che promettono risarcimenti, rimborsi o altri vantaggi economici in relazione a questo incidente.
- Modifica le password dei portali collegati a iRhythm e dei portali per i pazienti del reparto di cardiologia o dell'ospedale, soprattutto se hai riutilizzato quelle stesse password altrove.
- Accedi al portale della tua compagnia di assicurazione sanitaria e controlla regolarmente le richieste di rimborso.
- Se noti qualcosa di sospetto, segnalalo immediatamente alla tua compagnia assicurativa e al tuo fornitore e chiedi loro di segnalare il tuo account come potenzialmente vittima di un furto d'identità.
- Non fornire informazioni personali o finanziarie al telefono solo perché chi chiama conosce dettagli su di te che potrebbe aver ottenuto dai dati rubati.
Ammettiamolo, una finestra in incognito ha i suoi limiti.
Violazioni dei dati, commercio sul dark web, frodi creditizie. Malwarebytes Identity Theft monitora tutto questo, ti avvisa immediatamente e include un'assicurazione contro il furto d'identità.
