iRhythm untersucht den Vorfall nach eigenen Angaben gemeinsam mit externen Cybersicherheits-Experten. Das Unternehmen hat bestätigt, dass „einige Daten“ gestohlen wurden. Ob die Darstellung des Angreifers zum Inhalt der kompromittierten Informationen zutrifft, hat iRhythm bislang jedoch nicht bestätigt.
Noch offen ist auch, wie viele Personen von dem Vorfall betroffen sind. Nach Angaben des Unternehmens läuft weiterhin die Prüfung, um sowohl die Zahl der Betroffenen als auch Art und Menge der entwendeten Daten zu bestimmen.
In der bei der SEC eingereichten Mitteilung grenzt iRhythm den Vorfall zugleich von zentralen Betriebsbereichen ab. Nicht betroffen seien Produkte, klinische oder medizintechnische Systeme, Fertigungs- und Vertriebsabläufe, die Patientensicherheit sowie Systeme für die Finanzberichterstattung.
Wörtlich erklärte das Unternehmen in seiner SEC-Meldung, der Vorfall betreffe weder klinische noch medizintechnische Systeme des Unternehmens oder Verbindungen zu Kunden. Zudem speichere oder verwahre iRhythm keine individuellen Finanzkontoinformationen oder Zahlungskartendaten.
Unklar bleibt, wer hinter dem Angriff steckt. Nach den vorliegenden Informationen hat sich keine bekannte Ransomware- oder Erpressungsgruppe zu der Attacke auf iRhythm bekannt. Ebenfalls offen ist, ob das Unternehmen sich auf eine Lösegeldzahlung eingelassen oder Kontakt mit den Angreifern aufgenommen hat.
Bekannt ist bislang nur der zeitliche Ablauf, den iRhythm selbst beschrieben hat: Entdeckung der unbefugten Aktivitäten am 8. Juni, Kontaktaufnahme des Bedrohungsakteurs am 9. Juni und anschließend die Bestätigung, dass es tatsächlich zu einem Datendiebstahl gekommen ist. Der Name der betroffenen, von Dritten gehosteten Geschäftsanwendung wurde nicht veröffentlicht.