iRhythmfuite de donnéessantéSaaSingénierie sociale

iRhythm : une fuite de données patients liée à des applications SaaS tierces, et un chiffre encore flou

Name: CleanIssue
Price range: €€

Publié le 2026-10-165 min de lectureCleanIssue

> En bref : iRhythm, qui fabrique le moniteur cardiaque portable Zio, a subi une intrusion entre le 3 et le 8 juin 2026. L'attaquant a accédé à des applications métier hébergées chez des tiers et a copié des données de patients. Une demande de rançon a été reçue pour ne pas publier ces données. L'entreprise n'a pas publié de total officiel : le chiffre de 8,2 millions vient de dépôts réglementaires agrégés et reste une estimation.

Ce qui s'est passé

Accès : l'entreprise indique avoir été compromise par ingénierie sociale, pas par une faille technique. Les données ont été téléchargées depuis des applications métier hébergées par des prestataires.

Demande de paiement : dans un dépôt à la SEC du 10 juin, iRhythm dit avoir reçu une demande d'un montant non précisé, en échange de la non-publication des données. On ignore si elle a été payée.

Données concernées : noms, adresses, e-mails, téléphones, numéros de compte patient, numéros de série des appareils, numéros d'assurance, dates de soins et dates de naissance.

Chiffres : les dépôts d'États publiés en octobre comptent 298 647 personnes au Texas et 69 526 en Caroline du Sud. Le total « d'au moins 370 000 » patients vient de ces dépôts. Le chiffre de 8,2 millions, lui, est une agrégation de dépôts réglementaires et de presse. iRhythm dit seulement que le nombre « figure dans ses dépôts réglementaires ».

Impact clinique : selon l'entreprise, les appareils, la sécurité des patients et les opérations cliniques ne sont pas touchés.

Le point qui concerne tout le monde

Ce n'est pas le système de l'entreprise qui a cédé en premier, c'est la chaîne de prestataires SaaS autour. Une application de gestion qui contient des données patients, hébergée chez un tiers, devient le maillon faible. L'attaquant n'a pas eu besoin de casser le cœur de métier : il a suivi les accès accordés aux outils annexes.

Ce qu'il faut vérifier chez vous

Inventoriez les applications SaaS qui stockent des données personnelles, y compris celles gérées par un prestataire. Qui les administre, et avec quels droits ?

Auditez les accès des prestataires : comptes partagés, comptes d'administration oubliés, exports massifs possibles sans alerte.

Traitez l'ingénierie sociale comme un vecteur technique : vérification des demandes de réinitialisation, MFA résistant au phishing pour les accès aux applications métier.

Préparez la notification : identifiez quelles données, quels volumes et quels pays sont concernés, avant qu'un régulateur vous le demande.

La leçon

Une fuite n'arrive pas forcément par le produit principal. Ici, le produit est un appareil médical bien protégé. La porte s'est ouverte sur les outils qui l'entourent, et c'est là qu'il faut regarder en premier.

Vous éditez un logiciel ? CleanIssue réalise des audits de sécurité pour votre produit en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.

CEVA Logistics 2026 : un rançongiciel paralyse 8 entrepôts européens et expose les données de clients majeurs

Entre le 29 juillet et le 1er août 2026, la filiale logistique du groupe français CMA CGM a subi une cyberattaque de type rançongiciel ayant bloqué huit entrepôts en Europe. Coordonnées, commandes et numéros de TVA de clients comme Valve, Bol.com ou ING ont été exfiltrés ; des poursuites collectives ont été engagées aux États-Unis.

2026-09-05 · 6 min de lecture

Hacks célèbresingénierie sociale

Uber 2022 : l'attaque par ingénierie sociale qui a tout compromis

Un attaquant de 18 ans a compromis l'intégralité des systèmes d'Uber via du social engineering et du MFA fatigue. Chronologie et leçons.

2026-04-08 · 7 min de lecture

régulationRGPD

Corée du Sud : les amendes pour fuite de données passent à 10 % du chiffre d'affaires

La Corée du Sud porte les amendes pour fuite de données à 10 % du chiffre d'affaires total (contre 3 % auparavant) pour les fuites de 10 millions de personnes ou plus. Coupang pourrait voir son amende passer aux milliards de wons.

2026-09-18 · 5 min de lecture

Sources

Rédigé par CleanIssue

Revu le 2026-10-16

Services associés

Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.

Red Team sur mesure

Plusieurs agents, des serveurs MCP ou des agents livrés par une agence : sur devis.

Red Team Agent Express

Savoir rapidement ce qu'un inconnu peut faire faire à votre agent. Rapport en 5 jours.

Le Shield

Le logiciel qui bloquera les actions non autorisées. En développement, accès anticipé pour les premiers clients.