ב-9 ביוני פנה מישהו ל-iRhythm והודיע שיש בידיו מידע רפואי של המטופלים שלה, ודרש כסף כדי לא לפרסם אותו. למחרת דיווחה החברה על התקרית לרשות ניירות הערך האמריקאית והגדירה אותה מהותית. המכתבים למטופלים עצמם יצאו ארבעה חודשים אחר כך.

מה קרה

iRhythm מייצרת את ה-Zio, מדבקה שנדבקת לחזה ומקליטה את קצב הלב במשך ימים עד שבועות, כדי לאתר הפרעות קצב שבדיקה קצרה במרפאה מפספסת. את החברה הזאת לא בוחרים, אליה שולחים: הרופא מפנה לבדיקה, והמטופל נרשם ומזין את הפרטים שלו.

התוקפים לא ניצלו חולשה בתוכנה. הם דיברו עם בני אדם, שיחה או הודעה שמשכנעת מישהו למסור פרטי התחברות או לאשר גישה, ומשם נכנסו בין 3 ל-8 ביוני לאפליקציות עסקיות שהחברה מריצה אצל ספקים חיצוניים. לשיטה הזאת קוראים הנדסה חברתית, והיא עדיין הדרך הזולה ביותר להיכנס לארגון גדול. מה שיצא משם, לפי הודעות החברה: שמות, כתובות, טלפונים, מספרי חשבון של המטופל ב-iRhythm, המספר הסידורי של המכשיר שקיבל, מספר הביטוח הרפואי, תאריכי הבדיקות ותאריך לידה. החברה מדגישה שהמכשירים עצמם, המערכות הקליניות, הייצור וההפצה לא נפגעו, ושפרטי כרטיסי אשראי וחשבונות בנק לא היו בתוך מה שנגנב.

כמה אנשים? התשובה חלקית במתכוון. בפורטל ההתראות של התובע הכללי של טקסס נרשמו ב-6 באוקטובר 298,647 תושבי המדינה, בקרוליינה הדרומית דווחו עוד 69,526, וגם בקליפורניה הוגשה הודעה בלי מספר. דוברת החברה סירבה לומר מה המספר הכולל, ולפי HIPAA Journal התקרית עדיין לא מופיעה בפורטל הדליפות הפדרלי, כך שאין נתון ארצי. סכום שתי המדינות הוא יותר מ-368 אלף, וזה רצפה ולא סך הכול. אף קבוצת תקיפה לא לקחה אחריות פומבית.

למה זה חשוב לכם

תסתכלו שוב על רשימת השדות. שם מלא, כתובת, תאריך לידה, מספר ביטוח, המספר הסידורי של המכשיר והתאריך שבו נעשתה הבדיקה. זה בדיוק חומר הגלם לשיחת טלפון שנשמעת אמיתית, כי מי שמתקשר יכול לדקלם פרט שרק המרפאה הייתה אמורה להכיר. רוב מי שיקבל את המכתב הוא אמריקאי, אבל המבנה מוכר גם כאן: המידע הרפואי שלכם יושב אצל חברות שלא בחרתם, ספקי בדיקות וקבלני משנה שהקופה או הרופא עובדים איתם, ואין לכם דרך לבקש מהם למחוק אותו.

מה עושים?

הודעה או שיחה שמזכירה בדיקה אמיתית שעברתם אינה הוכחה לשום דבר. נתקו, והתקשרו בעצמכם למספר שמופיע באפליקציה של הקופה או על גב הכרטיס.

אף קופה, מרפאה או מבטח לא יבקשו בשיחה שלא יזמתם קוד אימות, סיסמה או תשלום בהעברה. בקשה כזאת היא סוף השיחה.

אם קיבלתם הודעה על דליפה, קראו אילו שדות בדיוק דלפו ושמרו את המכתב. זה מה שיעזור לכם לזהות אחר כך שיחה שמשתמשת דווקא בהם.

עברו מדי פעם על הדוחות של הקופה ושל הביטוח המשלים, וחפשו בדיקות או טיפולים שלא עשיתם.

כרטיס אשראי שדלף מחליפים בשבוע. תאריך לידה ומספר ביטוח נשארים אותו דבר, והעובדה שעברתם ניטור לב בקיץ 2026 תהיה נכונה גם בעוד חמש שנים.