Cyberatak na Boston Scientific: co się wydarzyło i co zostało zakłócone

Boston Scientific wykrył cyberatak 25 sierpnia 2026 roku, a 26 sierpnia ujawnił incydent w raporcie złożonym amerykańskiej Komisji Papierów Wartościowych i Giełd (SEC). Atak doprowadził do globalnej awarii sieci, ograniczając dostęp do systemów informatycznych i aplikacji biznesowych wykorzystywanych m.in. w produkcji, obsłudze zamówień oraz wysyłce. 28 sierpnia przywracanie działania nadal trwało, a firma nie podała terminu pełnego odtworzenia systemów. 2

Najważniejsze rozróżnienie dotyczy systemów operacyjnych firmy i samych wszczepionych urządzeń. Boston Scientific poinformował, że w toku dochodzenia nie stwierdzono wpływu na działanie wszczepionych urządzeń do kontroli rytmu serca ani na transmisję danych z urządzeń, które już wcześniej były objęte zdalnym monitorowaniem. Awaria ograniczyła jednak część nowych rejestracji i aktywacji zdalnego monitorowania. 15

Co zakłócił cyberatak?

Incydent dotknął wybranych systemów informatycznych, systemów operacyjnych i aplikacji biznesowych. Bezpośrednim skutkiem nie była zgłoszona awaria wszczepionych produktów, lecz utrata albo ograniczenie dostępu do narzędzi wspierających codzienną działalność firmy.

Boston Scientific miało problemy z:

• produkcją urządzeń;
• normalnym przetwarzaniem zamówień klientów;
• wysyłką gotowych zamówień za pośrednictwem standardowych systemów i procesów logistycznych. 12

W praktyce stworzyło to problem dla łańcucha dostaw szpitali i innych klientów korzystających z urządzeń Boston Scientific. Firma wyjaśniła, że nadal może przyjmować zamówienia elektroniczne, w tym przez elektroniczną wymianę danych (EDI) oraz platformę Global Health Exchange (GHX). Zamówienia trafiają jednak do kolejki i mają zostać zrealizowane później, zamiast być normalnie przetwarzane i wysyłane. 15

Zamówienia można przyjmować, ale nie realizować jak zwykle

Aktualizacja opublikowana przez firmę 29 sierpnia doprecyzowała sytuację. Zamówienia elektroniczne nadal mogły być odbierane przez EDI i lokalne aplikacje, lecz były wstrzymywane do czasu ponownego uruchomienia dotkniętych systemów. Oznacza to, że przyjmowanie zamówień nie zostało całkowicie zatrzymane; poważniejsze ograniczenia dotyczyły realizacji i wysyłki. 15

Boston Scientific nie podał, kiedy zamówienia zgromadzone w kolejce zostaną przetworzone ani kiedy zwykła przepustowość wysyłkowa zostanie przywrócona. Brak daty odtworzenia systemów oznaczał niepewność co do terminów dostaw, a firma nadal analizowała skutki operacyjne i finansowe incydentu. 12

Zakłócenia produkcji i sytuacja w Irlandii

Awaria objęła także działalność produkcyjną Boston Scientific, choć dostępne informacje nie zawierają danych o skali strat produkcyjnych w poszczególnych zakładach. Wśród dotkniętych lokalizacji znalazły się irlandzkie zakłady firmy w Cork, Clonmel i Galway. W tych operacjach pracuje łącznie ponad 7 tys. osób. 310

Według doniesień z Cork pracowników odesłano do domów lub poproszono, by — jeśli to możliwe — pracowali zdalnie. Personel w Galway również skierowano do pracy z domu, a konieczność obecności na miejscu ustalano zależnie od potrzeb operacyjnych. W miarę przedłużania się awarii odwołano później część zmian w Cork.

Te działania pokazują, jak incydent dotykający firmowych systemów IT i technologii operacyjnej może wyjść poza biura. Pracownicy produkcji mogą nie być w stanie normalnie wykonywać obowiązków, gdy niedostępne są sieć, systemy produkcyjne lub aplikacje wspierające działalność. Źródła potwierdzają zakłócenia w produkcji, ale nie pozwalają ustalić, ile dokładnie wyprodukowano mniej w każdym z irlandzkich zakładów.

Czy cyberatak wpłynął na wszczepione urządzenia kardiologiczne?

W aktualizacji z 29 sierpnia Boston Scientific podał, że nie stwierdzono wpływu na działanie wszczepionych urządzeń do kontroli rytmu serca. Firma nie wykryła również problemów z transmisją danych z urządzeń, które już przed awarią były monitorowane zdalnie, ani z dostępem personelu medycznego do tych danych. 15

Ograniczenie dotyczyło nowych czynności związanych z obsługą systemu. Rejestracje lub aktywacje zdalnego monitorowania rozpoczęte po wystąpieniu awarii nie mogły być przeprowadzane normalnie. To ograniczenie procesu wsparcia i uruchamiania usługi, a nie dowód na wyłączenie, modyfikację czy przejęcie wszczepionych urządzeń. 15

To rozróżnienie ma znaczenie dla pacjentów i lekarzy: potwierdzony wpływ dotyczył systemów i procedur wspierających działalność Boston Scientific, natomiast w publicznej aktualizacji firmy nie wskazano zakłóceń w funkcjonowaniu już wszczepionych urządzeń.

Reakcja firmy i stan przywracania systemów

Po wykryciu incydentu Boston Scientific uruchomił procedury reagowania na cyberataki i zaangażował zewnętrznych specjalistów ds. cyberbezpieczeństwa, którzy mieli pomóc w zbadaniu i ograniczeniu zagrożenia. 269

Firma początkowo informowała, że pracuje nad przywróceniem dostępu do systemów i dotkniętych funkcji, ale nie jest w stanie podać terminu pełnego odtworzenia. Jednocześnie analizowała zakres, charakter i skutki incydentu, w tym możliwość istotnego wpływu na działalność operacyjną lub wyniki finansowe. 12

Aktualizacja z 29 sierpnia zawierała jedną istotną informację ograniczającą znany obszar oddziaływania: według trwającej oceny systemy i aplikacje działające w chmurze nie zostały naruszone, a nieuprawniona aktywność była ograniczona do wybranych systemów lokalnych, czyli działających w infrastrukturze firmy. Nie rozstrzygało to jednak wszystkich pytań dotyczących przywrócenia systemów ani ewentualnego ujawnienia danych. 15

Czego nadal nie wiadomo?

W publicznych informacjach dostępnych do 28 sierpnia nie wskazano:

• w jaki sposób napastnicy uzyskali początkowy dostęp;
• do których konkretnie systemów uzyskali dostęp;
• czy doszło do wykradzenia danych;
• czy wykorzystano oprogramowanie ransomware, czyli złośliwe oprogramowanie blokujące dostęp do systemów, zwykle w celu wymuszenia okupu;
• kto odpowiadał za atak.

W dostarczonych materiałach nie ma również potwierdzonej informacji o wycieku danych pacjentów ani o żądaniu okupu. Brak takich informacji należy traktować jako nierozstrzygnięte kwestie śledztwa, a nie dowód, że żadnych danych nie skopiowano lub że ransomware zostało wykluczone. Firma nadal ustalała pełny zakres i wpływ incydentu. 2

Znaczenie finansowe i reakcja rynku

Boston Scientific odnotował około 20 mld dolarów przychodu w 2025 roku. Dłuższa przerwa w produkcji, obsłudze zamówień i wysyłce mogłaby wpłynąć na terminy rozpoznania przychodów oraz dostawy dla klientów, nawet gdyby techniczny zakres włamania pozostał ograniczony do wybranych systemów. 1

26 sierpnia akcje spółki straciły około 4,5 proc., gdy inwestorzy oceniali możliwy wpływ incydentu na przychody w najbliższym okresie. Reakcja rynku odzwierciedlała przede wszystkim niepewność: Boston Scientific nie wiedział jeszcze, jak długo potrwa zakłócenie ani czy jego skutki finansowe okażą się istotne.

Dlaczego ten incydent jest ważny dla cyberbezpieczeństwa ochrony zdrowia?

Przypadek Boston Scientific pokazuje, że ryzyko cybernetyczne w ochronie zdrowia nie ogranicza się do elektronicznej dokumentacji medycznej ani do bezpośredniego działania podłączonych urządzeń. Przejęcie firmowych i lokalnych systemów może przerwać produkcję, obsługę kolejek zamówień, logistykę, wsparcie klienta oraz administracyjne czynności potrzebne do objęcia nowych pacjentów zdalnym monitorowaniem.

W tym incydencie potwierdzone skutki dotyczyły przede wszystkim dostępności operacyjnej: firma mogła przyjmować część zamówień, ale nie mogła normalnie ich przetwarzać i wysyłać, a produkcja również została zakłócona. Jednocześnie Boston Scientific nie zgłosił znanego wpływu na działanie wszczepionych urządzeń kardiologicznych ani na wcześniej uruchomione monitorowanie. 15

To ważne rozdzielenie nie oznacza jednak, że przyszłe ryzyko nie istnieje. Organizacje medyczne i producenci technologii medycznych muszą uwzględniać połączenia między sieciami firmowymi, środowiskami produkcyjnymi, aplikacjami chmurowymi, platformami logistycznymi i usługami wspierającymi pacjentów. Awaria Boston Scientific pokazała, jak szybko problem w jednej warstwie może wpłynąć na szpitale, pracowników i klientów w wielu krajach — nawet gdy same urządzenia medyczne nadal działają.