Vi phạm dữ liệu tại iRhythm ảnh hưởng tới 8,2 triệu người

Sự cố vi phạm dữ liệu xảy ra hồi tháng 6/2026 tại iRhythm – hãng chuyên cung cấp thiết bị theo dõi tim đeo được, nổi tiếng với máy điện tâm đồ Zio – đã ảnh hưởng tới hơn 8 triệu người. Tin tặc đánh cắp thông tin cá nhân cùng dữ liệu tài khoản và thiết bị từ những ứng dụng do bên thứ ba vận hành, sau đó đe dọa tống tiền và rò rỉ dữ liệu đã đánh cắp.

Thiết bị theo dõi tim đeo được của iRhythm

Con số thiệt hại được xác nhận

Theo cổng thông tin vi phạm dữ liệu của Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ (HHS), sự cố này ảnh hưởng tới 8.179.772 người – con số mà iRhythm từng báo cáo trước đó cho Văn phòng Tổng chưởng lý bang Oregon.

Ngay từ đầu, iRhythm đã cho biết dữ liệu nhạy cảm có thể đã bị đánh cắp từ một số ứng dụng kinh doanh do bên thứ ba lưu trữ, và tin tặc đã tìm cách tống tiền bằng cách đe dọa công bố dữ liệu bị xâm phạm. Đầu tháng này, công ty bắt đầu gửi thư thông báo tới những người có khả năng bị ảnh hưởng, đồng thời nộp hồ sơ cho cơ quan quản lý tại nhiều bang cũng như cho HHS.

Những loại dữ liệu bị đánh cắp

Theo các thông báo trước đó của iRhythm, tin tặc đã chiếm được nhiều loại thông tin của bệnh nhân, bao gồm:

• Họ tên và địa chỉ
• Ngày sinh
• Địa chỉ email và số điện thoại
• Dữ liệu tài khoản và thiết bị iRhythm, trong đó có số tài khoản, số serial, số bảo hiểm và ngày sử dụng dịch vụ

Đây là dạng dữ liệu đặc biệt nhạy cảm vì liên quan trực tiếp đến thông tin y tế và bảo hiểm – những yếu tố thường bị lợi dụng cho hành vi trộm danh tính y tế.

Phản hồi của công ty

iRhythm khẳng định chưa có bằng chứng cho thấy thông tin cá nhân đã hoặc sẽ bị dùng để thực hiện hành vi trộm danh tính. Công ty cũng kêu gọi những người có khả năng bị ảnh hưởng chủ động bảo vệ mình trước nguy cơ trộm danh tính y tế và gian lận danh tính.

"Chúng tôi chưa ghi nhận bất kỳ tác động nào tới sản phẩm, hệ thống lâm sàng hay hệ thống thiết bị y tế, kết nối với khách hàng, hoạt động sản xuất và phân phối, an toàn bệnh nhân, hay khả năng đáp ứng nhu cầu của bệnh nhân", công ty cho biết.

Đáng chú ý, thông báo của iRhythm không đề cập đến dịch vụ giám sát tín dụng hay bảo vệ danh tính miễn phí cho những người bị ảnh hưởng – một điểm thường được các chuyên gia bảo mật và người tiêu dùng quan tâm trong các vụ vi phạm dữ liệu lớn.

Minh họa về an ninh mạng và bảo vệ dữ liệu

Bối cảnh rộng hơn về rủi ro từ bên thứ ba

Vụ việc của iRhythm là lời nhắc nhở về rủi ro chuỗi cung ứng trong lĩnh vực y tế số. Khi dữ liệu bệnh nhân được xử lý qua các ứng dụng do đối tác bên thứ ba vận hành, một lỗ hổng ở nhà cung cấp cũng có thể kéo theo hàng triệu người dùng cuối. Những sự cố tương tự gần đây trong ngành bao gồm vụ rò rỉ khóa của nhà cung cấp khiến dữ liệu 238.000 thành viên chương trình y tế Denver Health bị đe dọa, hay vụ tấn công vào Genesys làm lộ dữ liệu khách hàng từ hệ thống nội bộ.

Với các thiết bị đeo theo dõi sức khỏe như Zio, dữ liệu không chỉ là thông tin định danh mà còn phản ánh tình trạng tim mạch của người dùng. Điều này khiến các cuộc tấn công nhắm vào lĩnh vực thiết bị y tế đeo được trở nên nhạy cảm hơn nhiều so với vi phạm dữ liệu thông thường.

Người dùng nên làm gì?

Dù iRhythm chưa ghi nhận dấu hiệu lạm dụng, người dùng từng sử dụng dịch vụ của hãng nên chủ động các biện pháp phòng ngừa:

• Theo dõi sao kê và hồ sơ bảo hiểm y tế để phát hiện các yêu cầu thanh toán bất thường
• Cảnh giác với email, cuộc gọi lừa đảo mạo danh cơ sở y tế hoặc iRhythm
• Đặt cảnh báo gian lận với các tổ chức tín dụng nếu nghi ngờ thông tin bị lộ
• Thay đổi mật khẩu và bật xác thực hai yếu tố cho các tài khoản liên quan

Với quy mô hơn 8 triệu người bị ảnh hưởng, đây là một trong những vụ vi phạm dữ liệu y tế lớn nhất trong năm và là hồi chuông cảnh báo cho toàn ngành về việc kiểm soát chặt chẽ dữ liệu bệnh nhân khi giao cho đối tác bên ngoài xử lý.