شرکت iRhythm، ارائه‌دهنده تجهیزات پزشکی، اعلام کرده است که اطلاعات شخصی بیش از ۳۶۰,۰۰۰ نفر توسط مهاجمان سرقت شده است. این شرکت در حال اطلاع‌رسانی به افرادی است که داده‌هایشان در این حادثه به خطر افتاده است.
جزئیات فنی حادثه
این نشت داده‌ها در تاریخ ۸ ژوئن شناسایی شد. طبق اعلام شرکت، عامل تهدید (Threat Actor) توانسته است به برنامه‌های تجاری میزبانی‌شده توسط شخص ثالث (Third-party hosted applications) که حاوی اطلاعات iRhythm بودند، دسترسی پیدا کند. بررسی‌ها نشان می‌دهد که دسترسی و استخراج داده‌ها (Exfiltration) بین تاریخ ۳ تا ۸ ژوئن صورت گرفته است.
داده‌های سرقت شده
اطلاعات به دست آمده شامل موارد حساس زیر است:
- اطلاعات شناسایی: نام، آدرس، ایمیل، تاریخ تولد و شماره تلفن بیماران.
- داده‌های سیستمی: شماره حساب iRhythm، شماره سریال دستگاه‌ها، شماره بیمه و تاریخ‌های ارائه خدمات پزشکی.
بر اساس گزارش‌های ارسالی به رگولاتورهای ایالتی، حداقل ۳۶۰,۰۰۰ نفر (شامل ۲۹۸,۶۴۷ نفر در تگزاس و ۶۹,۵۲۶ نفر در کارولینای جنوبی) متأثر شده‌اند، اما احتمال می‌رود تعداد کل قربانیان به مراتب بیشتر باشد.
اخاذی و پاسخ شرکت
در گزارشی که برای کمیسیون بورس و اوراق بهادار (SEC) ارسال شده، ذکر شده است که مهاجمان در تاریخ ۹ ژوئن با شرکت تماس گرفته و تهدید کردند که در صورت عدم پرداخت باج (Ransom)، اطلاعات سرقتی را در فضای آنلاین منتشر خواهند کرد.
iRhythm هفته گذشته اعلام کرد که هیچ شواهدی مبنی بر استفاده از این اطلاعات برای سرقت هویت (Identity Theft) پیدا نکرده است؛ این موضوع احتمالاً به این معناست که شرکت در برابر اخاذان تسلیم شده و باج را پرداخت کرده است.
وضعیت عملیاتی
این شرکت تأکید کرده است که این حادثه هیچ تأثیری بر محصولات، سیستم‌های دستگاه‌های پزشکی، ارتباط با مشتریان، عملیات تولید و توزیع و یا ایمنی بیماران نداشته است. همچنین گفته شده که این اتفاق تأثیر مادی قابل توجهی بر وضعیت مالی یا نتایج عملیاتی شرکت نخواهد داشت.
