מתקפת הסייבר על Boston Scientific: מה קרה ומה השתבש?

Boston Scientific זיהתה מתקפת סייבר ב־25 באוגוסט 2026 ודיווחה עליה לרשות ניירות הערך האמריקאית (SEC) ב־26 באוגוסט. המתקפה גרמה להשבתה כלל־עולמית של הרשת והגבילה את הגישה למערכות מידע, למערכות הפעלה וליישומים עסקיים ששימשו לייצור, לעיבוד הזמנות ולמשלוחים. גם ב־28 באוגוסט נמשכו מאמצי השיקום, בלי לוח זמנים פומבי לחזרה מלאה לפעילות. 2

ההבחנה החשובה היא בין מערכות התפעול של החברה לבין המכשירים המושתלים עצמם. Boston Scientific מסרה כי בחקירה שנערכה עד כה לא נמצאה פגיעה ידועה בתפקודם של מכשירי קצב לב מושתלים, או בשידור הנתונים ממכשירים שכבר נרשמו לניטור מרחוק. עם זאת, ההשבתה הגבילה רישום והפעלה של שירותי ניטור מרחוק עבור מכשירים חדשים. 15

מה השתבש בעקבות המתקפה?

האירוע פגע בגישה למערכות IT מסוימות וליישומים עסקיים התומכים בפעילות היומיומית. לפי הודעות החברה, השיבוש השפיע על היכולת של Boston Scientific:

• לייצר מוצרים;
• לעבד הזמנות לקוחות באופן רגיל; וכן
• לשלוח הזמנות שהושלמו באמצעות המערכות ותהליכי הלוגיסטיקה הרגילים. 12

המשמעות היא שתקלה במערכות המידע הפכה לבעיה תפעולית ולוגיסטית עבור בתי חולים ולקוחות אחרים התלויים במכשירים הרפואיים של החברה. החברה אמרה כי היא עדיין יכולה לקבל הזמנות באופן אלקטרוני, בין היתר באמצעות EDI — חילופי נתונים אלקטרוניים — וכן דרך Global Health Exchange, אך ההזמנות הוכנסו לתור והמתינו לטיפול מאוחר יותר במקום לעבור עיבוד ומשלוח רגילים. 15

החברה עדיין יכולה לקבל הזמנות — אך לא להשלים אותן כרגיל

העדכון של Boston Scientific מ־29 באוגוסט סיפק תמונה מדויקת יותר מהדיווח הראשוני: קליטת הזמנות אלקטרוניות לא הופסקה לחלוטין, אך ההזמנות הוחזקו בתור עד לחזרת המערכות שנפגעו לפעילות. לכן, צוואר הבקבוק המרכזי היה בהשלמת ההזמנות ובמשלוחן, ולא בהכרח בעצם קליטתן. 15

החברה לא מסרה מתי ההזמנות שבתור יעובדו או מתי תוחזר יכולת המשלוחים לשגרה. היעדר מועד לשיקום מלא הותיר את הלקוחות באי־ודאות בנוגע לזמני האספקה, בעוד החברה ממשיכה להעריך את ההשלכות העסקיות והפיננסיות של האירוע. 12

גם הייצור באירלנד הושפע

ההשבתה הגיעה גם למערכי הייצור של Boston Scientific, אף שהדיווחים הזמינים לא כוללים נתון מפורט של אובדן הייצור בכל מפעל. באירלנד הושפעו האתרים בקורק, קלונמל וגולוויי, שבהם מועסקים יחד יותר מ־7,000 עובדים. 310

דיווחים מקורק מסרו כי עובדים נשלחו הביתה או הונחו לעבוד מרחוק ככל שניתן. גם עובדי האתר בגולוויי התבקשו לעבוד מהבית, בעוד הצורך בהגעה פיזית נקבע בהתאם לדרישות התפעול. בהמשך בוטלו חלק מהמשמרות בקורק, כשההשבתה נמשכה.

הצעדים האלה ממחישים כיצד אירוע סייבר שפוגע במערכות IT ארגוניות ובמערכות תפעוליות יכול לחרוג הרבה מעבר למשרדים: כאשר אין גישה לרשת, למערכות הייצור או ליישומים העסקיים התומכים, גם עובדי ייצור עלולים שלא להיות מסוגלים לעבוד כרגיל. הדיווחים מאשרים שהייצור נפגע, אך אינם קובעים כמה תפוקה אבדה בכל אחד מהאתרים באירלנד.

האם מכשירי הלב המושתלים נפגעו?

נכון לעדכון החברה מ־29 באוגוסט, Boston Scientific מסרה כי לא נמצאה פגיעה ידועה בתפקודם של מכשירי קצב הלב המושתלים. החברה גם אמרה כי לא נמצאה פגיעה ביכולת של מכשירים שכבר היו תחת ניטור מרחוק לשדר נתונים, או ביכולת של אנשי מקצוע רפואיים לגשת למידע הזה. 15

ההגבלה נגעה לפעילות תמיכה חדשה: רישום או הפעלה של ניטור מרחוק עבור מכשירים שהחלו בתהליך לאחר השיבוש לא יכלו להתבצע באופן רגיל. מדובר במגבלה תפעולית של מערכות הרישום והתמיכה — לא בראיה לכך שהמכשירים המושתלים הושבתו, שונו או נפרצו. 15

ההבדל חשוב למטופלים ולצוותים רפואיים: הפגיעה שאושרה בפומבי נגעה למערכות ולתהליכים התומכים של Boston Scientific, ולא לתפקודם של מכשירים שכבר הושתלו. עם זאת, הדבר אינו מבטל את הצורך להמשיך ולעקוב אחר העדכונים הרשמיים של החברה ושל ספקי השירות הרפואיים.

תגובת החברה ומצב השיקום

לאחר זיהוי האירוע הפעילה Boston Scientific את נהלי התגובה שלה לאירועי סייבר ושכרה מומחי אבטחת מידע חיצוניים כדי לחקור את האיום ולסייע בבלימתו. 269

החברה מסרה בתחילה כי היא פועלת להחזיר את הגישה למערכות ולשירותים שנפגעו, אך לא יכלה לספק לוח זמנים לשיקום מלא. במקביל היא בחנה את היקף האירוע, את אופיו ואת השלכותיו — כולל השאלה אם תהיה לו השפעה מהותית על הפעילות העסקית או על התוצאות הכספיות. 12

בעדכון מ־29 באוגוסט ציינה החברה כי ההערכה המתמשכת שלה מצביעה על כך שמערכות ויישומים מבוססי ענן לא הושפעו, וכי הפעילות הבלתי מורשית הוגבלה למערכות מקומיות מסוימות. זהו גבול חשוב שמצמצם את אזור הפגיעה הידוע, אך הוא עדיין לא ענה על כל השאלות בנוגע למועד השיקום או לחשיפה אפשרית של נתונים. 15

מה עדיין לא ידוע?

המידע הפומבי שהיה זמין עד 28 באוגוסט לא זיהה:

• כיצד התבצעה החדירה הראשונית;
• לאילו מערכות ספציפיות ניגש התוקף;
• האם נתונים הועתקו או הוצאו מהמערכות;
• האם נעשה שימוש בתוכנת כופר; או
• מי עומד מאחורי המתקפה.

כמו כן, בדיווחים שסופקו לא הופיע אישור פומבי לדליפה של נתוני מטופלים או לדרישת כופר. עם זאת, היעדר אישור כזה אינו מוכיח שלא נגנבו נתונים ואינו שולל שימוש בתוכנת כופר; הוא רק משקף את העובדה שהחקירה עדיין נמשכה והיקף האירוע טרם הובהר במלואו. 2

המשמעות הכספית ותגובת השוק

Boston Scientific דיווחה על הכנסות של כ־20 מיליארד דולר בשנת 2025. הפסקה ממושכת של הייצור, עיבוד ההזמנות והמשלוחים עלולה להשפיע על עיתוי ההכנסות ועל אספקת המוצרים ללקוחות, גם אם יתברר שהחדירה הטכנית הוגבלה למערכות מסוימות. 1

מניית החברה ירדה בכ־4.5% ב־26 באוגוסט, לאחר שהמשקיעים בחנו את האפשרות שהשיבוש יפגע בהכנסות בטווח הקצר. הירידה שיקפה בעיקר את אי־הוודאות: באותו שלב לא היה ברור כמה זמן יימשך האירוע והאם תהיה לו השפעה כספית מהותית.

למה המקרה חשוב לאבטחת הסייבר במערכת הבריאות?

המקרה של Boston Scientific ממחיש שסיכון סייבר בתחום הבריאות אינו מוגבל לתיקים רפואיים אלקטרוניים או להפעלה הישירה של מכשירים מחוברים. פגיעה במערכות ארגוניות ובמערכות מקומיות יכולה לשבש ייצור, תורי הזמנות, שילוח, תמיכה בלקוחות ואת השלבים האדמיניסטרטיביים הנדרשים לרישום מטופלים חדשים לניטור מרחוק.

במקרה הזה, הפגיעה שאושרה הייתה בעיקר בזמינות התפעולית: החברה יכלה לקבל חלק מההזמנות, אך לא לעבד ולשלוח אותן כרגיל, והייצור נפגע גם הוא. במקביל, החברה דיווחה שלא נמצאה פגיעה ידועה בתפקודם של מכשירי הלב המושתלים או בניטור שכבר היה פעיל. 15

ההפרדה הזו חשובה, אך אינה ערובה לכך ששכבות אחרות במערכת לא יושפעו בעתיד. חברות בתחום הבריאות והטכנולוגיה הרפואית נדרשות להביא בחשבון את הקשרים בין רשתות ארגוניות, סביבות ייצור, שירותי ענן, פלטפורמות לוגיסטיות ושירותי תמיכה במטופלים. ההשבתה של Boston Scientific מראה כיצד פגיעה בשכבה אחת יכולה להשליך במהירות על בתי חולים, עובדים ולקוחות במדינות רבות — גם כאשר המכשירים הרפואיים עצמם ממשיכים לפעול.