Perusahaan perawatan kesehatan digital iRhythm Holdings telah mengungkapkan pelanggaran data setelah peretas mencuri informasi pribadi dan kesehatan pasien yang disimpan di aplikasi bisnis yang dihosting pihak ketiga.
Perusahaan tersebut mengatakan layanan pemantauan jantungnya telah digunakan untuk menganalisis lebih dari 2 miliar jam data detak jantung yang dikurasi dari lebih dari 12 juta pasien.
Di sebuah pengarsipan dengan Komisi Sekuritas dan Bursa AS (SEC) pada hari Senin, iRhythm mengatakan pihaknya menemukan insiden tersebut satu hari sebelumnya, mendorongnya untuk meluncurkan penyelidikan dengan pakar keamanan siber eksternal dan mengaktifkan rencana respons keamanan siber untuk membendung pelanggaran tersebut.
Ia menambahkan bahwa para penyerang telah menghubungi satu minggu yang lalu, pada tanggal 9 Juni, menuntut uang tebusan untuk mencegah pengungkapan informasi kesehatan yang dicuri secara online, namun tidak mengaitkan serangan tersebut dengan pelaku ancaman tertentu atau kelompok pemeras.
“Pada tanggal 9 Juni 2026, Perusahaan menerima komunikasi dari pelaku ancaman yang mengaku telah memperoleh informasi sensitif, termasuk data hak milik, informasi kesehatan pasien yang dilindungi, dan informasi pribadi lainnya. Komunikasi dari pelaku ancaman meminta pembayaran sebagai imbalan karena tidak mengungkapkan informasi ini secara publik,” kata iRhythm.
“Sejak menerima komunikasi tersebut, Perusahaan telah mengonfirmasi bahwa data tertentu telah diambil dari aplikasi tersebut. Pada tanggal 10 Juni 2026, Perusahaan menetapkan bahwa insiden tersebut bersifat material mengingat besarnya volume data yang berpotensi terkena dampak.”
Perusahaan juga menyatakan bahwa mereka tidak memiliki bukti bahwa insiden tersebut berdampak pada “produk, sistem perangkat klinis atau medis, keselamatan pasien, operasi manufaktur dan distribusi, sistem pelaporan keuangan,” dan mencatat bahwa pelaku ancaman memperoleh akses ke data melalui rekayasa sosial.
iRhythm menambahkan bahwa mereka tidak menyimpan informasi kartu pembayaran atau rekening keuangan pasien, dan pelanggaran tersebut tidak melibatkan sistem perangkat klinis atau medisnya.
BleepingComputer menghubungi juru bicara iRhythm dengan pertanyaan lebih lanjut tentang insiden tersebut, termasuk berapa banyak data pribadi dan pasiennya yang terekspos dalam pelanggaran tersebut, namun tanggapannya tidak segera tersedia.
Raksasa farmasi Denmark Novo Nordisk, produsen insulin terbesar di dunia, juga mengungkapkan pelanggaran data minggu lalu setelah peretas mencuri informasi pasien dari beberapa uji klinis dalam sebuah insiden yang melibatkan sistem TI internal yang disusupi.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
