Kyberútok ochromil Boston Scientific: výrobu, objednávky i expedici

Boston Scientific odhalil kybernetický útok 25. srpna 2026 a o den později jej zveřejnil v podání americké Komisi pro cenné papíry (SEC). Incident způsobil celosvětový výpadek sítě a omezil přístup k informačním systémům a podnikovým aplikacím používaným při výrobě, zpracování objednávek a expedici. Ještě 28. srpna probíhala obnova bez veřejně oznámeného termínu úplného návratu do běžného provozu. 2

Klíčové je rozlišovat mezi provozními systémy společnosti a samotnými implantovanými přístroji. Boston Scientific uvedl, že vyšetřování zatím neodhalilo známý dopad na funkci implantovaných přístrojů pro řízení srdečního rytmu ani na přenosy dat z přístrojů, které už byly zapojeny do vzdáleného monitoringu. Omezené však byly některé nové registrace a aktivace vzdáleného monitorování. 15

Co útok narušil

Podle společnosti incident zasáhl určité informační a provozní systémy i podnikové aplikace. Nešlo tedy o veřejně oznámené selhání implantovaných produktů, ale především o ztrátu nebo omezení přístupu k nástrojům, které zajišťují každodenní fungování firmy.

Výpadek ovlivnil schopnost Boston Scientific:

• vyrábět zdravotnické prostředky;
• běžně zpracovávat zákaznické objednávky;
• expedovat hotové objednávky prostřednictvím obvyklých systémů a logistických procesů. 12

Pro nemocnice a další odběratele, kteří na dodávkách zdravotnických prostředků závisejí, to znamenalo riziko zpoždění v dodavatelském řetězci. Firma uvedla, že elektronické objednávky stále přijímat dokáže — například prostřednictvím EDI nebo platformy Global Health Exchange (GHX). Tyto objednávky však byly ukládány do fronty k pozdějšímu vyřízení, místo aby byly standardně zpracovány a odeslány. 15

Objednávky se přijímaly, jejich vyřízení ale čekalo

Aktualizace Boston Scientific z 29. srpna upřesnila, že příjem elektronických objednávek se úplně nezastavil. Objednávky přicházející přes EDI a lokální aplikace mohly být přijaty, jejich další zpracování však bylo odloženo do doby, než budou dotčené systémy znovu dostupné. Výraznější problém tak představovalo plnění objednávek a expedice, nikoli samotný příjem požadavků. 15

Společnost neuvedla, kdy začne nahromaděné objednávky vyřizovat ani kdy se obnoví běžná přepravní kapacita. Nejistota ohledně termínu obnovy komplikovala plánování zákazníkům a firmě zároveň ztěžovala odhad provozních a finančních dopadů. 12

Zasažena byla i výroba v Irsku

Výpadek se dotkl výrobních operací Boston Scientific, dostupné informace však neuvádějí přesný objem ztracené výroby pro jednotlivé závody. Mezi zasažená místa patřily také irské provozy v Corku, Clonmelu a Galway. V těchto lokalitách pracuje dohromady více než 7 000 lidí. 310

Podle zpráv z Corku byli někteří zaměstnanci posláni domů nebo dostali pokyn pracovat na dálku, pokud to jejich pozice umožňovala. Zaměstnanci v Galway byli rovněž vyzváni k práci z domova, zatímco přítomnost na pracovišti se posuzovala podle provozních potřeb. Některé směny v Corku byly později zrušeny, protože výpadek pokračoval.

Tato opatření ukazují, jak může kybernetický incident zasáhnout i mimo kancelářskou IT infrastrukturu. Pokud nejsou dostupné síťové služby, výrobní systémy nebo podpůrné podnikové aplikace, zaměstnanci ve výrobě nemohou pracovat běžným způsobem. Veřejné zprávy potvrzují narušení výroby, neuvádějí však, jak velký výpadek postihl jednotlivé irské závody.

Byly ohroženy implantované srdeční přístroje?

V aktualizaci z 29. srpna Boston Scientific uvedl, že dosavadní vyšetřování neprokázalo známý dopad na funkci implantovaných přístrojů pro řízení srdečního rytmu. Firma zároveň nezjistila dopad na schopnost již vzdáleně monitorovaných přístrojů odesílat data ani na možnost zdravotníků k těmto údajům přistupovat. 15

Omezení se týkalo nové podpůrné činnosti. Registrace nebo aktivace vzdáleného monitoringu zahájené po výpadku sítě nebylo možné dokončit obvyklým způsobem. To představuje provozní problém při zavádění služby, nikoli důkaz, že implantované přístroje byly vypnuty, změněny nebo kompromitovány. 15

Pro pacienty a zdravotníky je toto rozlišení zásadní: potvrzený dopad se týkal podpůrných systémů a procesů Boston Scientific, zatímco veřejné vyjádření firmy neuvádělo narušení funkce již implantovaných přístrojů.

Jak firma reagovala a kdy se systémy vrátí

Po odhalení incidentu Boston Scientific aktivoval své postupy pro řešení kybernetických incidentů a přizval externí odborníky na kybernetickou bezpečnost. Ti měli pomoci s vyšetřením a omezením hrozby. 269

Společnost uvedla, že pracuje na obnovení zasažených funkcí a přístupu k systémům, konkrétní termín úplné obnovy však neposkytla. Současně posuzovala rozsah, povahu a následky incidentu včetně toho, zda by mohl mít významný dopad na provoz nebo finanční výsledky. 12

Aktualizace z 29. srpna přinesla alespoň částečné vymezení rozsahu problému: podle tehdejšího průběžného posouzení nebyly zasaženy cloudové systémy a aplikace a neoprávněná aktivita se omezovala na určité lokální, tedy on-premise systémy. Toto zjištění zúžilo známou oblast dopadu, neodpovědělo však na všechny otázky ohledně obnovy ani možného úniku dat. 15

Co stále není známo

Veřejná oznámení dostupná do 28. srpna neuváděla:

• jakým způsobem útočníci získali počáteční přístup;
• ke kterým konkrétním systémům se dostali;
• zda byla data odcizena;
• zda byl použit ransomware;
• kdo za útokem stál.

V dostupných zprávách se rovněž neobjevilo potvrzení úniku údajů pacientů ani veřejný požadavek na výkupné. Tyto mezery však znamenají nevyřešené vyšetřovací otázky, nikoli důkaz, že žádná data odcizena nebyla nebo že ransomware byl vyloučen. Firma stále posuzovala celkový rozsah a dopad incidentu. 2

Finanční dopad a reakce investorů

Boston Scientific vykázal za rok 2025 tržby přibližně 20 miliard dolarů. Delší přerušení výroby, zpracování objednávek a expedice by proto mohlo ovlivnit načasování tržeb i dodávky zákazníkům, i kdyby se technický průnik nakonec ukázal jako omezený na určité systémy. 1

Akcie společnosti 26. srpna klesly přibližně o 4,5 %. Investoři zvažovali, zda výpadek zasáhne krátkodobé tržby. Reakce trhu odrážela především nejistotu: Boston Scientific tehdy nevěděl, jak dlouho potrvají omezení ani zda bude mít incident významný finanční dopad.

Proč případ přesahuje jednu firmu

Incident ukazuje, že kybernetické riziko ve zdravotnictví se netýká pouze elektronických zdravotních záznamů nebo přímého provozu připojených zdravotnických přístrojů. Kompromitace podnikových a lokálních systémů může přerušit výrobu, zablokovat fronty objednávek, narušit logistiku a zkomplikovat zákaznickou podporu i administrativní kroky potřebné k zapojení nových pacientů do vzdáleného monitoringu.

V případě Boston Scientific byl potvrzeným problémem především výpadek dostupnosti provozních systémů: firma mohla některé objednávky přijímat, ale nedokázala je běžně zpracovat a odesílat, zatímco byla narušena také výroba. Současně společnost uvedla, že nezjistila dopad na funkci implantovaných srdečních přístrojů ani na již zavedený monitoring. 15

Toto oddělení systémů je důležité, samo o sobě však nepředstavuje záruku proti budoucím incidentům. Výrobci zdravotnické techniky a další zdravotnické organizace musejí počítat s vazbami mezi podnikovými sítěmi, výrobním prostředím, cloudovými aplikacemi, logistickými platformami a službami pro pacienty. Výpadek Boston Scientific ukázal, jak rychle může problém v jedné vrstvě zasáhnout nemocnice, zaměstnance a zákazníky v několika zemích — i v situaci, kdy samotné zdravotnické přístroje podle dosavadních zjištění dál fungují.