iRhythm bị tấn công dữ liệu, ít nhất 360.000 bệnh nhân bị ảnh hưởng

Nhà cung cấp thiết bị y tế iRhythm đang thông báo cho hơn 360.000 người rằng tin tặc đã đánh cắp thông tin cá nhân của họ. Vụ việc được phát hiện vào ngày 8 tháng 6 và liên quan đến các ứng dụng kinh doanh do bên thứ ba lưu trữ chứa một số thông tin của iRhythm. Đây là lời nhắc nhở mới nhất về rủi ro an ninh mạng trong lĩnh vực y tế kỹ thuật số.

Minh họa về an ninh mạng

Chi tiết vụ tấn công

Theo iRhythm, trong quá trình điều tra, công ty xác định rằng tin tặc đã truy cập và đánh cắp dữ liệu bệnh nhân từ các ứng dụng bị ảnh hưởng trong khoảng thời gian từ ngày 3 đến ngày 8 tháng 6.

Thông tin bị xâm phạm bao gồm:

• Tên, địa chỉ, địa chỉ email, ngày sinh và số điện thoại của bệnh nhân
• Dữ liệu tài khoản và thiết bị iRhythm, chẳng hạn như số tài khoản, số sê-ri, số bảo hiểm và ngày sử dụng dịch vụ

Dựa trên các thông báo về vi phạm dữ liệu mà iRhythm đệ trình lên cơ quan quản lý ở một số bang vào tuần trước, ít nhất 360.000 cá nhân đã bị ảnh hưởng, trong đó 298.647 người ở Texas và 69.526 người ở Nam Carolina. Con số thực tế có khả năng cao hơn đáng kể.

Tin tặc đòi tiền chuộc

Trong một hồ sơ gửi lên Ủy ban Chứng khoán và Giao dịch Hoa Kỳ (SEC) vào tháng 6, công ty cho biết tin tặc đã liên hệ với họ vào ngày 9 tháng 6, đe dọa sẽ phát tán thông tin bị đánh cắp lên mạng nếu không được trả tiền chuộc.

Tuần trước, iRhythm tuyên bố hiện không có bằng chứng cho thấy thông tin bị đánh cắp "đã hoặc sẽ được sử dụng để thực hiện hành vi trộm cắp danh tính", điều này gợi ý rằng công ty có thể đã nhượng bộ những kẻ tống tiền.

"Như iRhythm đã báo cáo trước đó, công ty không xác định được bất kỳ ảnh hưởng nào đến sản phẩm, hệ thống lâm sàng hoặc thiết bị y tế, kết nối với khách hàng, hoạt động sản xuất và phân phối, sự an toàn của bệnh nhân, hoặc khả năng đáp ứng nhu cầu của bệnh nhân", công ty cho biết.

Ngoài ra, iRhythm lưu ý rằng sự cố này không có khả năng ảnh hưởng trọng yếu đến tình hình tài chính hoặc kết quả hoạt động của công ty.

Biểu tượng an ninh mạng

iRhythm làm gì?

iRhythm tự mô tả là một công ty chăm sóc sức khỏe kỹ thuật số kết hợp cảm biến sinh học theo dõi tim đeo được với phân tích dữ liệu trên nền tảng đám mây, nhằm biến dữ liệu tim thành thông tin có thể hành động được về mặt lâm sàng.

Vụ việc này nằm trong chuỗi các sự cố an ninh mạng gần đây nhắm vào lĩnh vực y tế và công nghiệp, bao gồm vụ vi phạm dữ liệu của Oracle Health ảnh hưởng đến gần 20 triệu người, và vụ tấn công dữ liệu của Georgia Power và Alabama Power ảnh hưởng đến 400.000 tài khoản.

Bài học cho người dùng và doanh nghiệp tại Việt Nam

Sự cố của iRhythm là lời cảnh tỉnh cho các doanh nghiệp, đặc biệt là trong lĩnh vực y tế kỹ thuật số và thiết bị IoT y tế. Việc phụ thuộc vào ứng dụng do bên thứ ba lưu trữ đồng nghĩa với việc chuỗi cung ứng phần mềm trở thành một mắt xích rủi ro quan trọng.

Đối với người dùng tại Việt Nam đang sử dụng các dịch vụ theo dõi sức khỏe hoặc thiết bị y tế đeo được, các chuyên gia khuyến nghị:

• Cảnh giác với các email, tin nhắn lừa đảo có thể xuất hiện sau khi dữ liệu bị rò rỉ
• Thay đổi mật khẩu định kỳ và bật xác thực hai yếu tố cho các tài khoản liên quan
• Theo dõi các dấu hiệu bất thường trong sao kê bảo hiểm hoặc hóa đơn y tế
• Yêu cầu nhà cung cấp dịch vụ thông báo rõ ràng nếu dữ liệu cá nhân bị ảnh hưởng

Đối với các doanh nghiệp, bài học là cần đánh giá kỹ lưỡng bảo mật của các nhà cung cấp bên thứ ba, áp dụng nguyên tắc đặc quyền tối thiểu và xây dựng kế hoạch ứng phó sự cố rõ ràng trước khi bị tấn công.

SecurityWeek đã gửi email cho iRhythm để yêu cầu thêm thông tin về vụ vi phạm dữ liệu và sẽ cập nhật bài viết nếu công ty phản hồi.