心臓モニタリングサービスを提供するiRhythmは、データ盗難被害に遭い、その後、恐喝の試みにさらされた。
iRhythmは、米国証券取引委員会（SEC）への提出書類の中で、6月9日に、自社独自のデータ、患者の保護対象医療情報（PHI）、その他の個人情報を含む機密情報を盗んだと主張する人物から連絡を受けたことを明らかにした。その人物は、データを公開しない見返りとして金銭の支払いを要求した。
iRhythm社は、携帯型心電図モニタリングおよび解析サービス（例えばZioパッチを用いたもの）を提供しており、これまでに1,200万人以上の患者から20億時間以上に及ぶ心拍データを処理してきたと報じられている。
同社は提出書類の中で、データはソーシャルエンジニアリングによって取得されたものであり、「特定のサードパーティがホストする業務用アプリケーション」に由来するものであると述べたが、データの量に関する詳細については明らかにしなかった。
iRhythmも自社のウェブサイトでは、盗まれたデータの性質についてあまり詳しく明かしていないが、財務データは影響を受けていないことを示唆しているようだ：
「当社の製品、臨床システムや医療機器システム、顧客との関係、製造・流通業務、患者の安全、および患者のニーズに応える能力に、何ら影響は確認されていません。また、当社は個人の金融口座情報や決済カード情報を保存・保持しておりません。」
現在、積極的に調査を進めております。調査が進み次第、関連法規に基づき本件の影響を受けた方々へ通知を行い、必要に応じて、皆様への影響を軽減し、是正するための措置を講じてまいります。
しかし、SECへの提出書類には、iRhythmが「影響を受ける可能性のあるデータの量を考慮すると」この事案は重大であると判断したことが付記されている。これに加え、恐喝犯が患者の医療データを保有していると主張していることから、iRhythmのサービスを利用したことがある人にとっては、この情報漏洩は注目すべき事案である。
支払いデータが漏洩していなくても、医療情報の漏洩は深刻な二次的影響をもたらします：
- 攻撃者は、特定の手順やモニタリングの記録（例えば「最近のZioパッチの記録について」など）に言及した、非常に説得力のあるメール、テキストメッセージ、または電話を作成し、患者を騙してさらなるデータの提供や偽の請求書の支払いをさせることがあります。
- 流出したデータは、偽の身元情報の作成、保険金詐欺、あるいは医療情報の不正利用に悪用される可能性があります。
- 心臓に関する情報やその他の健康関連情報が公開されると、極めてデリケートな問題となり、特にそのデータが一般に公開されたり、データブローカーに販売されたりした場合、雇用や保険の面で深刻な影響を及ぼす可能性があります。
医療情報の漏洩データは長年にわたって出回り続ける傾向があり、被害者はニュースの話題性が薄れた後も、散発的な詐欺やフィッシングの標的となる可能性があります。
安全に過ごすには
iRhythmのサービスをご利用になったことがある方は、iRhythmまたはご利用の医療機関から送られる正式な情報漏洩通知について、郵便、電子メール、および患者ポータルを随時ご確認ください。
米国では、特定の基準を満たす保護対象医療情報の漏洩については、患者および規制当局への報告が義務付けられています。iRhythm社は、「適用される法律に従い、本事案の影響を受けた個人に通知するとともに、影響を受けた方々を保護し、その影響を是正するために必要な措置を講じる」と約束しています。
フィッシング詐欺や詐欺師の手に渡らないようにするには：
- データ漏洩に関する連絡を受け取った場合は、他の手段を通じて、それが本当にiRhythmからのものかどうかを確認してください。iRhythmの公式ウェブサイトや患者ポータルに直接アクセスするか、既知の電話番号に電話をかけて、その連絡が本物であることを確認してください。
- この件に関連して、補償や返金、その他の金銭的な対応を提示するメールやテキストメッセージには、特に注意してください。
- iRhythmと連携しているポータルサイトや、循環器科・病院の患者用ポータルサイトのパスワードを変更してください。特に、それらのパスワードを他の場所で使い回している場合は、必ず変更してください。
- 健康保険会社のポータルサイトにログインし、定期的に請求状況を確認してください。
- 不審な点に気づいたら、直ちに保険会社およびサービス提供者に報告し、なりすまし被害の可能性があるとしてアカウントに注意喚起のマークを付けてもらうよう依頼してください。
- 電話の相手が、盗まれたデータから入手したと思われるあなたの詳細情報を知っているからといって、決して電話口で個人情報や金融情報を教えないでください。
正直なところ、シークレットウィンドウには限界があります。
情報漏洩、ダークウェブでの取引、クレジットカード詐欺。Malwarebytes Identity Theft これらすべてを監視し、迅速に警告を発し、さらに個人情報盗難保険も付帯しています。
