何が起きたのか？ ボストン・サイエンティフィックのサイバー事案を整理

何が起きたのか

ボストン・サイエンティフィックは2026年8月26日、前日の8月25日に一部の情報システムに影響するサイバーセキュリティ事案を確認したと、米証券取引委員会（SEC）への届け出で公表しました。事案によって世界的なネットワーク障害が発生し、同社の業務の一部が混乱しています。1

特に影響が明らかになっているのは、顧客注文の処理や製品の出荷を支える情報システムと業務アプリケーションです。178 ただし、同社は攻撃者や侵入手法、影響を受けたシステムの全容を明らかにしていません。現時点で、データ窃取や身代金要求が確認されたわけでもありません。

受注・出荷への影響は

同社によると、一部のオペレーティングシステムや業務アプリケーションへのアクセスが中断または制限されました。その結果、顧客注文の処理や製品発送に支障が生じ、システムと機能の復旧作業中も混乱が続く見込みです。1411

8月26日時点で、全面復旧の具体的な時期は示されていません。1411 そのため、遅延した注文や出荷の件数、製造工程への影響、顧客への最終的な影響範囲はまだ確定していません。

アイルランドの拠点では何が起きたのか

ボストン・サイエンティフィックは、アイルランドのコーク、クロンメル、ゴールウェイの拠点で7,000人超を雇用しています。従業員には、アイルランドの各拠点と世界各地の拠点を含むネットワーク通信に影響する世界的な障害について説明が行われました。29

報道によると、コーク工場の従業員は帰宅し、リモートワークに切り替えるよう指示されました。ゴールウェイの従業員にも、その日の残りの時間は在宅勤務を行うよう伝えられました。3910

3拠点が世界的な障害の影響を受けたことは報じられていますが、公開情報からは、クロンメルについてコークやゴールウェイとは別の具体的な勤務指示が出されたかどうかは明確ではありません。910

会社の対応と復旧状況

ボストン・サイエンティフィックは、事案を検知した時点でインシデント対応手順を発動しました。第三者のサイバーセキュリティ専門家を招き、調査と脅威の封じ込めを進めるとともに、社内の地域・グローバルITチームがネットワーク通信や影響を受けた業務機能の復旧に取り組んでいます。1316

8月26日時点では、調査、封じ込め、復旧のいずれも継続中でした。同社は、事案の性質や範囲、業務上・財務上の影響をまだ評価している段階だと説明しています。114

財務見通しと株価への反応

同社は、この事案による損失額を公表しておらず、業績見通しも変更していません。また、会社に重大な影響を及ぼす可能性が合理的に高いかどうかも、まだ判断していないとしています。114

一方、投資家は事案を嫌気しました。報道では、発表後の時間外取引で株価が約4％下落したとされたほか、別の市場報道では4.6％下落して47.57ドルになったと伝えられています。これらは取引時点の異なる市場反応を示す数字であり、サイバー事案による最終的な損失額を意味するものではありません。818

会社が開示した潜在的なリスク

SECへの届け出で同社が挙げたのは、すでに確認された結果だけではなく、事案が長期化した場合に想定されるリスクも含まれます。主なものは次のとおりです。1

• システムやデータの復旧が長引くこと
• 影響を受けた業務に十分な代替手段を用意できないこと
• 機密情報や第三者情報の不正公開・毀損
• 情報の詐欺利用や犯罪への悪用
• 業務停止と財務上の損失
• 経営陣の注意が復旧対応に集中することと、復旧費用
• 訴訟や規制当局による調査
• 顧客、仕入れ先、従業員との関係や企業評判への損害

8月26日時点で、特定のデータ侵害、データの持ち出し、ランサムウェアの要求、責任を主張する攻撃者の存在は公表されていません。これらは調査中の論点であり、確認済みの事実とは区別する必要があります。

StrykerやMedtronicの事案との違い

今回の事案は、2026年に医療機器業界で相次いだサイバー事案の一つです。Strykerでは、Microsoft環境が標的となった後に世界的な業務障害が発生し、報道では受注、出荷、製造に影響が及び、復旧に数週間を要したとされています。イランと関連があるとされるグループが犯行を主張しましたが、その主張はボストン・サイエンティフィックと同じ攻撃者が関与したことを示すものではありません。

一方、Medtronicの事案は性質が異なります。セキュリティ関連の報道によると、企業ITシステムの一部に不正アクセスがあり、約383万人に関する個人情報・医療情報が影響を受けましたが、製品と業務への影響は報告されませんでした。

つまり、医療機器企業へのサイバー攻撃は、ボストン・サイエンティフィックのように受注・出荷などの事業継続を直撃する場合もあれば、Strykerのように製造や物流まで広がる場合もあります。Medtronicのように、製品や業務への影響が報告されなくても、個人情報・医療情報の保護が大きな問題になるケースもあります。

2026年の脅威環境での位置づけ

Check Point Researchによると、2026年7月に世界の組織が受けたサイバー攻撃は、1組織当たり週平均2,336件でした。これは6月から3％増、前年同月から16％増です。

この統計は、ボストン・サイエンティフィック、Stryker、Medtronicの事案が同一キャンペーンであることを示すものではありません。共通の攻撃者や手法を裏付ける証拠も、現時点ではありません。ただ、医療機器企業では、社内ネットワーク、受注システム、製造環境、機微な医療データがそれぞれ別個の問題ではなく、企業活動全体に連鎖するリスクになり得ることを示しています。

まだ分かっていないこと

8月26日時点で、主な未解明点は次のとおりです。

• 影響を受けたシステムが全面復旧する時期
• 遅延した注文や出荷の件数
• 製造や製品の供給への影響
• 機密情報や個人情報へのアクセス・持ち出しの有無
• 業績や会社計画への重大な影響の有無
• 攻撃者と使用された手法

今回の初期開示で確認されたのは、世界的なネットワーク障害と、受注処理・出荷を含む業務への影響です。最終的な事業・財務上の影響を判断するには、同社からの追加発表や規制当局への続報を待つ必要があります。