iRhythm heeft een ingrijpend incident rond patiëntgegevens bekendgemaakt. In een melding richting de Amerikaanse toezichthouder (via het HHS-data breach portal) staat dat het iRhythm datalek 8,179,772 personen heeft geraakt. Eerder gaf het bedrijf al aan dat er informatie van bepaalde derde partijen mogelijk was gestolen en dat de aanvallers ook een losgeldpoging deden.
Voor betrokkenen en organisaties die met zorgdata werken is vooral relevant wát er is geraakt, hoe breed het effect is en welke signalen je kunt verwachten. Hieronder zetten we de belangrijkste punten op een rij en geven we praktische aandachtspunten voor wie risico loopt.
8,2 miljoen getroffen in HHS-melding
Het incident uit juni 2026 werd door iRhythm medio juni openbaar gemaakt. Inmiddels is het dossier officieel opgenomen in het HHS-data breach portal, waar het aantal betrokkenen is vastgesteld op 8,179,772 personen. iRhythm had die aantallen eerder al gedeeld met de Oregon Attorney General.
Het bedrijf heeft daarbij aangegeven dat er sprake kan zijn van diefstal van gevoelige informatie uit applicaties die door derden worden gehost. Daarmee is het datalek niet per se beperkt tot alleen iRhythm’s eigen systemen, maar raakt het ook de keten eromheen.
Welke gegevens mogelijk zijn gestolen
Volgens eerdere kennisgevingen door iRhythm zijn bij het iRhythm datalek mogelijk verschillende typen persoonsgegevens gecompromitteerd. Het gaat onder meer om:
- namen
- adressen
- geboortedata
- e-mailadressen
- telefoonnummers
- iRhythm-account- en apparaatgegevens
Daarnaast noemt iRhythm ook gegevens zoals account/serial-/verzekeringsnummers en datums van dienstverlening. Dit type combinatie is extra gevoelig omdat het niet alleen iemands identiteit kan raken, maar ook zorggerelateerde gegevens kan ondersteunen in fraudeconstructies.
Losgeldpoging en dreiging met datalek
iRhythm stelde vanaf het begin dat de aanvallers toegang hadden tot gegevens en dat ze probeerden losgeld af te dwingen. Daarbij werd gedreigd met openbaarmaking van de gecompromitteerde data. Losgelddreigingen gaan vaak samen met het “op druk zetten” van organisaties en zorgen er bovendien voor dat slachtoffers niet alleen met privacyrisico’s te maken krijgen, maar ook met mogelijke verdere escalatie.
De melding beschrijft ook dat het bedrijf op basis van de beschikbare informatie een vervolgtraject is gestart richting toezichthouders.
Wanneer is iRhythm begonnen met notificaties?
Begin van die maand startte iRhythm met het versturen van kennisgevingsbrieven aan mogelijk getroffen personen. Daarnaast diende het meldingen in bij toezichthouders in meerdere Amerikaanse staten en bij het U.S. Department of Health and Human Services (HHS).
Deze fase—eerst interne en forensische verwerking, daarna notificaties richting betrokkenen—komt in zorgdatalekken vaak terug. Voor organisaties is het ook een signaal dat het incident voldoende omvang had om breed te rapporteren.
Betrokkenheid van medische identiteit en fraude
iRhythm meldt eerder dat het geen bewijs heeft dat persoonlijke informatie is of zal worden gebruikt om identiteitsdiefstal te plegen. Tegelijkertijd heeft het bedrijf betrokkenen wel aangeraden maatregelen te nemen tegen medische identiteitsfraude en andere vormen van identiteitsfraude.
Opvallend detail in de berichtgeving is dat de kennisgeving niet vermeldt dat er gratis diensten beschikbaar zouden zijn zoals identiteits- of kredietmonitoring. Dat betekent dat betrokkenen in de praktijk zelf moeten inschatten welke extra maatregelen nodig zijn.
Geen impact op producten en medische systemen (volgens iRhythm)
iRhythm geeft ook aan dat het geen aanwijzingen heeft gevonden voor gevolgen voor producten, klinische of medische apparaatsystemen, of voor verbindingen met klanten. Ook spreekt het bedrijf uit dat patiëntveiligheid niet in het geding is, en dat de mogelijkheid om aan patiëntbehoeften te voldoen niet is aangetast.
Daarmee positioneert iRhythm het incident vooral als een gegevens- en privacykwestie, niet als een verstoring van zorgprocessen. Toch blijft het verstandig om de situatie alert te volgen, omdat misbruik van data zich soms pas later manifesteert.
Waarom dit soort datalekken extra risico geven
Bij zorgdata is de impact vaak groter dan bij “gewone” persoonsgegevens. Namen, contactgegevens en geboortedata zijn al waardevol voor social engineering. Maar in dit dossier gaat het ook om account- en apparaatgegevens en informatie rond verzekeringen en dienstverlening. Dat maakt de kans op gerichte fraude groter, bijvoorbeeld met telefonische benaderingen of berichten die lijken op legitieme correspondentie.
Ook de betrokkenheid van door derden gehoste applicaties is een terugkerend aandachtspunt binnen cybersecurity voor de zorg. Als één schakel in de keten zwak is, kan dat gevoelige informatie alsnog blootleggen.
Wat kun je als betrokkene of organisatie nu doen?
Als je een bericht van iRhythm ontvangt of denkt dat je onder de doelgroep valt, is het verstandig om gestructureerd te handelen. Hieronder staan praktische stappen die passen bij een iRhythm datalek waarbij vooral persoonsgegevens en zorggerelateerde accountdata zijn genoemd.
Voor betrokkenen
- Bewaar de notificatie: noteer datum en inhoud, zodat je later makkelijk kunt terugkoppelen.
- Let extra op phishing: reageer niet op verdachte e-mails of berichten die verwijzen naar “beveiligingsacties” of “vrijgave van gegevens”.
- Controleer account- en contactgegevens: wijzig wachtwoorden waar nodig en controleer of contactkanalen kloppen.
- Volg aanwijzingen voor medische identiteit: stel jezelf bewust van mogelijke signalen rond zorg- en verzekeringsfraude.
Voor organisaties in de zorgketen
- Beoordeel derde partijen: check of gehoste applicaties voldoende zijn afgedekt (toegang, logging, segmentatie).
- Versterk dataminimalisatie en rollen: zorg dat medewerkers en systemen alleen toegang hebben tot wat nodig is.
- Plan incidentrespons op notificaties: maak de route klaar voor meldingen aan toezichthouders en communicatie aan betrokkenen.
- Monitor misbruikscenario’s: ga actief na welke typen data het meest kunnen leiden tot fraude en social engineering.
Gerelateerde incidenten: waarom het onderwerp leeft
Deze zaak staat niet op zichzelf. Op onze site behandelen we vaker incidenten waarbij persoonsgegevens of zorgdata werden blootgesteld. Je kunt bijvoorbeeld ook lezen over:
