شرکت iRhythm، سازنده تجهیزات پزشکی، اعلام کرد که در پی یک حمله سایبری در ماه ژوئن، داده‌های دست‌کم 360,000 نفر مورد سرقت قرار گرفته است. این شرکت طی هفته جاری اطلاعیه‌های مربوط به نشت داده‌ها را در چندین ایالت منتشر کرد و به رگولاتورها و قربانیان اطلاع داد که این حادثه در تاریخ 8 ژوئن و از طریق دسترسی غیرمجاز به سیستم‌های شخص ثالث (Third-party systems) رخ داده است.
جزئیات حمله و متدولوژی
بررسی‌های انجام شده نشان می‌دهد که مهاجمان بین 3 تا 8 ژوئن به سیستم‌های شرکت دسترسی داشته‌اند. عامل تهدید (Threat actor) توانست از طریق یک حمله مهندسی اجتماعی (Social Engineering)، به اپلیکیشن‌های تجاری شرکت که توسط تامین‌کنندگان خارجی میزبانی می‌شدند، نفوذ کند. پس از نفوذ، داده‌های حساس استخراج و دانلود شده‌اند.
اطلاعات سرقت شده و دامنه تأثیر
اطلاعاتی که در این حمله به سرقت رفته است شامل موارد زیر است:
- نام، آدرس و شماره تلفن
- شماره حساب‌های بیماران در iRhythm
- شماره سریال دستگاه‌های iRhythm
- شماره‌های بیمه بیماران
- تاریخ خدمات ارائه شده و تاریخ تولد
سخنگوی شرکت تأکید کرد که این حادثه هیچ تأثیری بر سیستم‌های بالینی (Clinical systems) یا تجهیزات پزشکی شرکت نداشته و منجر به توقف خدمات یا اختلال در عملیات جاری نشده است. همچنین هیچ شواهدی مبنی بر استفاده از این اطلاعات برای سرقت هویت (Identity theft) یافت نشده است.
اخاذی و تهدیدات
طبق گزارش ارسالی به کمیسیون بورس و اوراق بهادار (SEC)، یک عامل تهدید با ارسال پیام‌هایی ادعا کرده است که به اطلاعات حساس، داده‌های اختصاصی و اطلاعات Protected Health Information (PHI) دسترسی پیدا کرده و در ازای عدم انتشار عمومی این داده‌ها، درخواست پرداخت وجه (باج) کرده است.
روند حملات به صنعت تجهیزات پزشکی
این حادثه بخشی از یک روند گسترده‌تر است؛ در دو سال اخیر، ده‌ها شرکت تجهیزات پزشکی هدف حملات سایبری قرار گرفته‌اند. شرکت‌های بزرگی مانند Medtronic، Boston Scientific و Stryker نیز پیش از این با حوادث مشابهی روبرو شده‌اند که منجر به نشت داده‌های حساس میلیون‌ها نفر و ایجاد اختلال در زنجیره تأمین (Supply chain) شده است.
