Cyberattaque contre Boston Scientific : ce que la panne mondiale a perturbé

Boston Scientific a détecté une cyberattaque le 25 août 2026 et l’a rendue publique le lendemain dans un document réglementaire adressé à la Securities and Exchange Commission (SEC), le gendarme des marchés financiers américains. L’incident a provoqué une panne mondiale du réseau, limitant l’accès à des systèmes informatiques et à des applications métiers utilisés pour la fabrication, le traitement des commandes et les expéditions. Le rétablissement était toujours en cours le 28 août, sans calendrier public pour un retour complet à la normale. 2

Le point essentiel concerne la différence entre les systèmes opérationnels de l’entreprise et les dispositifs implantés dans les patients. Boston Scientific a déclaré que son enquête n’avait identifié aucun impact connu sur le fonctionnement des dispositifs implantables de gestion du rythme cardiaque, ni sur la transmission des données par les appareils déjà inscrits à un service de télésurveillance. En revanche, certaines nouvelles inscriptions et activations de télésurveillance étaient limitées. 15

Ce que la cyberattaque a perturbé

Selon Boston Scientific, l’incident a touché certains systèmes informatiques, systèmes d’exploitation et applications métiers. La conséquence immédiate n’a pas été une défaillance signalée des produits implantés, mais la perte ou la restriction d’accès à des outils indispensables au fonctionnement quotidien de l’entreprise.

La perturbation a notamment affecté la capacité de Boston Scientific à :

• fabriquer ses produits ;
• traiter normalement les commandes des clients ;
• expédier les commandes terminées via ses systèmes et processus logistiques habituels. 12

Cette combinaison a créé un risque pour la chaîne d’approvisionnement des hôpitaux et des autres clients qui dépendent des dispositifs médicaux de l’entreprise. Boston Scientific a précisé qu’elle pouvait toujours recevoir les commandes par voie électronique, notamment via l’échange de données informatisé (EDI) et le Global Health Exchange (GHX). Ces commandes étaient toutefois placées dans une file d’attente, en attendant la remise en service des systèmes nécessaires à leur traitement. 15

Les commandes pouvaient-elles encore être enregistrées ?

La mise à jour publiée le 29 août a apporté des précisions par rapport à l’annonce initiale. Les commandes électroniques pouvaient toujours être reçues via l’EDI et certaines applications locales, mais elles étaient conservées jusqu’au rétablissement des systèmes concernés. La prise de commandes n’était donc pas totalement interrompue ; les principales difficultés concernaient leur exécution et leur expédition. 15

Boston Scientific n’avait pas indiqué quand les commandes en attente pourraient être traitées ni quand les capacités d’expédition habituelles seraient rétablies. Cette absence de calendrier laissait les clients dans l’incertitude quant aux délais de livraison, tandis que l’entreprise continuait d’évaluer les conséquences commerciales et financières de l’incident. 12

Une production touchée, notamment en Irlande

La panne a également atteint les activités de fabrication de Boston Scientific. Les informations disponibles ne permettent toutefois pas de chiffrer les pertes de production site par site. En Irlande, les établissements de Cork, Clonmel et Galway figuraient parmi les sites concernés par la perturbation mondiale du réseau. Plus de 7 000 personnes travaillent dans ces activités irlandaises. 310

À Cork, des salariés ont été renvoyés chez eux ou invités à travailler à distance lorsque cela était possible. À Galway, le personnel a également été prié de télétravailler, tandis que les besoins de présence sur site étaient déterminés selon les impératifs opérationnels. Certains postes de travail à Cork ont ensuite été annulés alors que la panne se prolongeait.

Ces mesures illustrent la façon dont une cyberattaque visant des systèmes informatiques et opérationnels peut dépasser largement le cadre des bureaux : dans une usine, l’absence d’accès au réseau, aux outils de production ou aux applications de soutien peut empêcher les équipes de travailler normalement. Les informations publiées confirment une perturbation de la fabrication, mais ne permettent pas d’établir le volume de production perdu dans chaque site irlandais.

Les dispositifs cardiaques implantés ont-ils été touchés ?

Dans sa mise à jour du 29 août, Boston Scientific a indiqué qu’aucun impact connu n’avait été constaté sur le fonctionnement de ses dispositifs implantables de gestion du rythme cardiaque. L’entreprise n’a pas non plus relevé d’effet connu sur la transmission des données par les appareils déjà suivis à distance, ni sur l’accès des professionnels de santé aux informations de télésuivi correspondantes. 15

La limitation concernait les nouvelles opérations de prise en charge. Les inscriptions ou activations de télésurveillance lancées après la perturbation du réseau ne pouvaient pas être finalisées normalement. Il s’agit d’un problème de soutien opérationnel et d’intégration de nouveaux patients, pas d’un élément démontrant que les dispositifs implantés ont été désactivés, modifiés ou compromis. 15

Cette distinction est importante pour les patients et les cliniciens : l’impact confirmé porte sur les systèmes et les processus qui entourent les dispositifs, tandis que la communication publique de l’entreprise n’a pas fait état d’une perturbation du fonctionnement des appareils déjà implantés.

Réponse de l’entreprise et état du rétablissement

Après avoir identifié l’incident, Boston Scientific a déclenché ses procédures de réponse et fait appel à des spécialistes externes en cybersécurité pour enquêter et contenir la menace. 269

L’entreprise a d’abord indiqué qu’elle travaillait à restaurer les fonctions et les accès affectés, sans pouvoir fournir de délai pour un rétablissement complet. Elle évaluait également la portée, la nature et les conséquences de l’incident, notamment le risque d’un effet important sur ses activités ou ses résultats financiers. 12

La mise à jour du 29 août a toutefois permis de mieux circonscrire la zone connue de l’incident. Boston Scientific a déclaré que son évaluation en cours indiquait que ses systèmes et applications hébergés dans le cloud n’étaient pas affectés et que l’activité non autorisée se limitait à certains systèmes installés sur site. Cette précision est rassurante, mais elle ne répondait pas à toutes les questions concernant le rétablissement ou une éventuelle exposition de données. 15

Ce qui reste inconnu

Les communications publiques disponibles au 28 août ne précisaient pas :

• le mode d’accès initial des attaquants ;
• les systèmes précis auxquels ils auraient accédé ;
• l’existence éventuelle d’une exfiltration de données ;
• l’utilisation ou non d’un rançongiciel ;
• l’identité du groupe responsable.

Aucun signalement public confirmé de fuite de données de patients ou de demande de rançon ne figurait non plus dans les informations disponibles. Ces absences doivent être comprises comme des questions encore sans réponse, et non comme la preuve qu’aucune donnée n’a été volée ou que l’hypothèse d’un rançongiciel a été écartée. L’entreprise poursuivait son évaluation de la portée et des conséquences de l’incident. 2

Enjeu financier et réaction des marchés

Boston Scientific a réalisé environ 20 milliards de dollars de chiffre d’affaires en 2025. Une interruption prolongée de la fabrication, du traitement des commandes et des expéditions pourrait donc décaler des revenus et retarder des livraisons, même si l’intrusion technique restait limitée à certains systèmes. 1

L’action du groupe a reculé d’environ 4,5 % le 26 août, les investisseurs s’inquiétant de l’effet possible sur les revenus à court terme. Cette réaction traduisait surtout l’incertitude : Boston Scientific ne savait pas encore combien de temps la perturbation durerait ni si elle aurait un impact financier significatif.

Pourquoi cette affaire compte pour la cybersécurité dans la santé

Le cas Boston Scientific rappelle que le risque cyber dans le secteur de la santé ne se limite pas aux dossiers médicaux électroniques ou au fonctionnement direct des appareils connectés. Une compromission de systèmes informatiques internes peut interrompre la fabrication, les files de commandes, la logistique, le service client et les démarches administratives nécessaires à l’inscription de nouveaux patients à un dispositif de télésurveillance.

Dans cet incident, le préjudice confirmé concernait principalement la disponibilité opérationnelle : Boston Scientific pouvait recevoir certaines commandes, mais ne pouvait pas les traiter et les expédier normalement, tandis que la fabrication était également perturbée. Parallèlement, l’entreprise n’a signalé aucun impact connu sur le fonctionnement des dispositifs cardiaques implantés ni sur la télésurveillance déjà active. 15

Cette séparation est importante, mais elle ne constitue pas une garantie pour l’avenir. Les entreprises de santé et de technologies médicales doivent tenir compte des liens entre réseaux informatiques internes, environnements de production, services cloud, plateformes logistiques et services d’accompagnement des patients. La panne de Boston Scientific montre à quelle vitesse un incident dans une couche de l’infrastructure peut affecter les hôpitaux, les salariés et les clients de plusieurs pays, même lorsque les dispositifs médicaux eux-mêmes continuent de fonctionner.