Attacco informatico a Boston Scientific: cosa è successo e cosa ha interrotto

Boston Scientific ha rilevato un attacco informatico il 25 agosto 2026 e lo ha reso pubblico il giorno seguente, attraverso una comunicazione alla Securities and Exchange Commission (SEC), l’autorità statunitense di vigilanza sui mercati finanziari. L’incidente ha causato un’interruzione globale della rete, limitando l’accesso ai sistemi informatici e alle applicazioni utilizzate per la produzione, la gestione degli ordini e le spedizioni. Al 28 agosto il ripristino era ancora in corso, senza una tempistica pubblica per il ritorno alla piena operatività. 2

La distinzione più importante riguarda i dispositivi impiantati. Boston Scientific ha dichiarato di non aver rilevato finora effetti sul funzionamento dei dispositivi cardiaci per la gestione del ritmo né sulla trasmissione dei dati dei dispositivi già iscritti al monitoraggio remoto. L’interruzione ha però ostacolato alcune nuove iscrizioni e attivazioni del monitoraggio a distanza. 15

Che cosa ha interrotto l’attacco

Secondo l’azienda, l’incidente ha colpito determinati sistemi informatici, sistemi operativi e applicazioni aziendali. La conseguenza immediata non è stata un malfunzionamento segnalato dei prodotti impiantati, ma la perdita o la limitazione dell’accesso agli strumenti che sostengono le attività quotidiane.

In particolare, l’interruzione ha compromesso la capacità di Boston Scientific di:

• produrre i dispositivi;
• elaborare normalmente gli ordini dei clienti;
• spedire gli ordini completati attraverso i consueti sistemi e processi logistici. 12

L’effetto combinato ha creato un problema per la catena di fornitura di ospedali e altri clienti che dipendono dai dispositivi medici dell’azienda. Boston Scientific ha spiegato di poter continuare a ricevere ordini in formato elettronico, anche tramite l’Electronic Data Interchange (EDI) e il Global Health Exchange (GHX), ma tali ordini venivano inseriti in una coda in attesa della successiva evasione, invece di essere elaborati e spediti normalmente. 15

Gli ordini potevano ancora essere ricevuti?

L’aggiornamento del 29 agosto ha precisato meglio il quadro rispetto alla prima comunicazione sull’interruzione. Gli ordini elettronici potevano ancora essere acquisiti tramite EDI e applicazioni locali, ma restavano sospesi fino al ripristino dei sistemi interessati. L’acquisizione degli ordini, quindi, non si era fermata del tutto: i vincoli principali riguardavano l’evasione e la spedizione. 15

L’azienda non aveva comunicato quando gli ordini accodati sarebbero stati elaborati né quando la capacità di spedizione sarebbe tornata alla normalità. L’assenza di una data di ripristino lasciava i clienti nell’incertezza sui tempi di consegna e Boston Scientific ancora impegnata a valutare le conseguenze operative e finanziarie dell’incidente. 12

Produzione e sedi in Irlanda

L’interruzione ha raggiunto anche le attività produttive di Boston Scientific, ma le informazioni disponibili non indicano quanta produzione sia andata persa in ciascun impianto. Tra le sedi coinvolte figurano gli stabilimenti irlandesi di Cork, Clonmel e Galway. Nel complesso, l’azienda impiega oltre 7.000 persone nelle sue attività in Irlanda. 310

A Cork, secondo le notizie locali, alcuni dipendenti sono stati rimandati a casa oppure invitati a lavorare da remoto quando possibile. Anche il personale di Galway è stato indirizzato al lavoro da casa, mentre la presenza sul posto veniva stabilita in base alle esigenze operative. Con il protrarsi dell’interruzione, alcuni turni a Cork sono stati successivamente cancellati.

Queste misure mostrano come un incidente informatico che coinvolge sistemi aziendali e tecnologie operative possa andare oltre il normale lavoro d’ufficio: quando non sono disponibili la rete, i sistemi di produzione o le applicazioni di supporto, anche il personale degli stabilimenti può non riuscire a lavorare normalmente. Le fonti confermano una perturbazione della produzione, ma non consentono di quantificarne l’impatto nei singoli siti irlandesi.

I dispositivi cardiaci impiantati sono stati colpiti?

Nell’aggiornamento del 29 agosto, Boston Scientific ha dichiarato di non aver rilevato effetti sul funzionamento dei dispositivi cardiaci impiantati per la gestione del ritmo. L’azienda ha inoltre affermato che non risultavano problemi nella trasmissione dei dati da parte dei dispositivi già sottoposti a monitoraggio remoto, né nell’accesso dei professionisti sanitari alle relative informazioni di gestione a distanza. 15

Il limite riguardava invece le nuove attività di supporto. Le iscrizioni o attivazioni al monitoraggio remoto avviate dopo l’interruzione della rete non potevano essere completate normalmente. Si tratta di un vincolo operativo e di onboarding, non di una prova che i dispositivi impiantati siano stati disattivati, modificati o compromessi. 15

La differenza è importante per pazienti e medici: l’impatto confermato riguarda i sistemi e i processi di supporto di Boston Scientific, mentre l’aggiornamento pubblico dell’azienda non ha indicato interruzioni nel funzionamento dei dispositivi già impiantati.

La risposta dell’azienda e lo stato del ripristino

Dopo aver identificato l’incidente, Boston Scientific ha attivato le proprie procedure di risposta e ha coinvolto specialisti esterni di cybersicurezza per indagare sulla minaccia e contenerla. 269

Inizialmente l’azienda ha dichiarato di lavorare al ripristino delle funzioni e dell’accesso ai sistemi interessati, senza però poter fornire una data per il ritorno alla piena operatività. Stava inoltre valutando portata, natura ed effetti dell’incidente, compresa la possibilità di un impatto rilevante sulle attività o sui risultati finanziari. 12

L’aggiornamento del 29 agosto ha circoscritto almeno in parte l’area interessata: secondo la valutazione in corso, i sistemi e le applicazioni basati sul cloud non risultavano colpiti e l’attività non autorizzata era limitata ad alcuni sistemi on-premise, cioè installati e gestiti direttamente nei locali dell’azienda. Il dato restringe il perimetro noto dell’incidente, ma non chiarisce ogni questione sul ripristino o sull’eventuale esposizione di dati. 15

Che cosa non si sa ancora

Nelle comunicazioni pubbliche disponibili entro il 28 agosto non erano stati indicati:

• il metodo utilizzato per l’accesso iniziale;
• i sistemi specifici raggiunti dall’intruso;
• l’eventuale esfiltrazione di dati;
• l’eventuale utilizzo di ransomware;
• l’identità del gruppo responsabile.

Non risultavano inoltre conferme pubbliche di una violazione dei dati dei pazienti o di una richiesta di riscatto nelle informazioni disponibili. Queste lacune rappresentano però questioni ancora irrisolte: non dimostrano che nessun dato sia stato sottratto né che l’ipotesi ransomware sia stata esclusa. L’azienda stava ancora valutando la portata e l’impatto complessivo dell’incidente. 2

Impatto finanziario e reazione del mercato

Boston Scientific ha registrato ricavi per circa 20 miliardi di dollari nel 2025. Un’interruzione prolungata di produzione, gestione degli ordini e spedizioni potrebbe quindi ritardare i ricavi e le consegne ai clienti, anche se l’intrusione tecnica restasse confinata a determinati sistemi. 1

Il 26 agosto le azioni dell’azienda hanno perso circa il 4,5%, mentre gli investitori valutavano il possibile effetto sui ricavi di breve periodo. La reazione del mercato rifletteva soprattutto l’incertezza: Boston Scientific non aveva ancora stabilito quanto sarebbe durata l’interruzione né se l’incidente avrebbe avuto un impatto finanziario rilevante.

Perché il caso è importante per la cybersicurezza sanitaria

Il caso Boston Scientific mostra perché il rischio informatico nel settore sanitario non riguarda soltanto le cartelle cliniche elettroniche o il funzionamento diretto dei dispositivi connessi. La compromissione di sistemi aziendali e infrastrutture on-premise può interrompere produzione, code degli ordini, logistica, assistenza ai clienti e le procedure amministrative necessarie per iscrivere nuovi pazienti al monitoraggio remoto.

In questo episodio, il danno confermato è stato soprattutto una perdita di disponibilità operativa: Boston Scientific poteva acquisire alcuni ordini, ma non elaborarli e spedirli normalmente, mentre anche la produzione risultava disturbata. Allo stesso tempo, l’azienda non ha segnalato effetti noti sul funzionamento dei dispositivi cardiaci impiantati né sul monitoraggio già attivo. 15

Questa separazione è significativa, ma non costituisce una garanzia contro rischi futuri. Le aziende sanitarie e i produttori di tecnologie mediche devono considerare i collegamenti tra reti aziendali, ambienti di produzione, applicazioni cloud, piattaforme logistiche e servizi di assistenza ai pazienti. Il blackout di Boston Scientific dimostra quanto rapidamente un problema in un singolo livello possa ripercuotersi su ospedali, dipendenti e clienti in diversi Paesi, anche quando i dispositivi medici continuano a funzionare.