iRhythmがデータ漏洩を公表、ハッカーが患者情報を盗んだと発表

デジタルヘルスケア企業のiRhythm Holdingsは、サードパーティがホストする業務用アプリケーションに保存されていた患者の個人情報および健康情報がハッカーによって盗まれたことを受け、データ漏洩を公表した。

同社によると、同社の心拍モニタリングサービスは、1,200万人以上の患者から収集された20億時間以上に及ぶ心拍データの分析に利用されてきたという。

月曜日に米国証券取引委員会（SEC）に提出した報告書 の中で、iRhythmは前日にこの事案を発見し、外部のサイバーセキュリティ専門家と共同で調査を開始するとともに、情報漏洩の拡大を防ぐためサイバーセキュリティ対応計画を起動させたと述べた。

さらに、攻撃者から1週間前の6月9日に連絡があり、盗まれた健康情報をオンライン上で公開しないよう身代金を要求されたと付け加えたが、攻撃の犯人を特定の脅威アクターや恐喝グループに特定することはなかった。

「2026年6月9日、当社は、専有データ、患者の保護対象健康情報、その他の個人情報を含む機密情報を入手したと主張する脅威アクターから連絡を受けた。この脅威アクターからの連絡では、当該情報を公に開示しない見返りとして支払いを要求していた」とiRhythmは述べた。

「連絡を受領して以来、当社は、当該アプリケーションから特定のデータが流出していたことを確認しました。2026年6月10日、当社は、影響を受ける可能性のあるデータの量を踏まえ、本事案が重要な事象であると判断しました。」

同社はまた、本事案が「自社の製品、臨床システムや医療機器システム、患者の安全、製造・流通業務、財務報告システム」に影響を与えたという証拠はないと述べ、脅威アクターがソーシャルエンジニアリングを通じてデータへのアクセス権を取得したと指摘した。

iRhythm社はさらに、患者の支払いカード情報や金融口座情報は保存しておらず、今回の情報漏洩は同社の臨床システムや医療機器システムには及んでいないと付け加えた。

本件に関するさらなる質問（侵害により個人情報や患者データが漏洩した個人の数など）についてiRhythmの広報担当者に問い合わせたが、直ちには回答が得られなかった。

世界最大のインスリンメーカーであるデンマークの製薬大手ノボノルディスクも先週、社内ITシステムの侵害を伴う事件で、ハッカーが一部の臨床試験から患者情報を盗んだとして、データ侵害を公表した。