ボストン・サイエンティフィックのサイバー攻撃、世界規模の障害で何が起きたのか

何が起きたのか

医療機器大手のボストン・サイエンティフィックは、2026年8月25日にサイバー攻撃を検知した。翌26日、米証券取引委員会（SEC）への提出書類で公表し、同社の世界各地の業務に障害が発生していると説明した。215

同社はインシデント対応手順を発動し、外部のサイバーセキュリティ専門家とともに脅威の調査・封じ込めに着手した。しかし、8月28日時点でもネットワーク障害は続いており、全面復旧の時期は明らかにしていなかった。15

受注・出荷と製造への影響

影響は、社内のITシステムや業務アプリケーションに及んだ。特に、顧客からの注文を通常どおり処理し、製品を出荷する機能が大きく制限された。同社は注文を受け取って後から処理するための待機列に入れることはできたものの、通常の受注・出荷業務は行えない状態だった。51

製品の製造も混乱し、医療機関が同社の医療機器を調達するサプライチェーンにリスクが生じた。もっとも、公開情報では、どの工場でどの程度の生産減が発生したかという拠点別の具体的な数字までは示されていない。345

植え込み型医療機器はどうなったのか

ボストン・サイエンティフィックによると、すでに植え込まれている心調律管理機器は意図どおり機能し、機器からの通信にも影響はなかった。

一方、周辺の業務システムが停止したことで、新たな遠隔モニタリングの登録や有効化の一部には影響、または制約が生じた。これは、植え込み型機器が侵害されたことを示すものではなく、機器を支える業務上のサポート機能が滞ったという意味だ。

アイルランドの拠点にも波及

アイルランドでは、コーク、クロンメル、ゴールウェイの各拠点で働く7,000人超が世界的なネットワーク障害の影響を受けた。345

現地報道によると、コークでは従業員の一部が帰宅を指示され、可能な場合は在宅勤務となった。ゴールウェイでも在宅勤務が案内されたという。ただし、当初の報道だけでは拠点ごとの生産停止規模は確定しておらず、同社が後に製造への影響を認めた形だ。345

何がまだ分かっていないのか

8月28日時点で、同社は次の点を公表していなかった。

• 攻撃者が最初に侵入した方法
• 具体的にアクセスされたシステム
• データが外部へ持ち出されたかどうか
• ランサムウェアが使われたかどうか
• 攻撃を担ったサイバー犯罪グループ

身代金要求や、患者データが流出したとの確認も公表されていない。ただし、これはデータが持ち出されなかったことの証明ではない。調査が公にその結論へ達していなかった、という意味にとどまる。

業績と市場への影響

攻撃の公表を受け、同社株は8月26日に約4.5％下落した。投資家が、売上の消失や計上の遅れにつながる可能性を織り込んだためだ。32

ボストン・サイエンティフィックは2025年に約200億ドルの売上高を計上していた。侵入そのものが限定的だったとしても、製造、受注処理、出荷が長期にわたって滞れば、事業や業績への影響は無視できない。2

8月29日時点の追加情報

その後の8月29日の会社側の更新では、調査の結果、クラウドベースのシステムとアプリケーションには影響がなく、不正な活動は一部のオンプレミス（社内設置型）システムに限られていると示された。15

これは影響範囲を考えるうえで一定の安心材料だが、全面復旧の時期を示すものではない。また、データが外部へ流出したかどうかなど、情報公開時点で残っていた疑問をすべて解消したわけでもない。

医療機器業界が抱える課題

今回、確認された主な被害は、医療機器そのものの機能停止ではなく、業務システムの可用性が失われたことだった。それでも、受注、製造、物流、患者を支える遠隔モニタリングの登録などが連鎖的に滞れば、医療機関への供給に影響し得る。

医療・医療機器企業が攻撃対象となる背景には、システム停止が臨床現場のサプライチェーンや製造、物流、患者支援サービスへ短時間で波及する構造がある。今回の事例は、医療機器や臨床プラットフォーム、クラウドサービス、社内ネットワークを適切に分離する重要性も浮き彫りにした。15