Boston Scientific siber saldırısı: Küresel kesinti neleri etkiledi?

Boston Scientific, 25 Ağustos 2026'da bir siber saldırı tespit etti ve olayı 26 Ağustos'ta ABD Menkul Kıymetler ve Borsa Komisyonu'na (SEC) yaptığı bildirimle duyurdu. Saldırı, dünya genelinde şirketin bilgi sistemlerine ve üretim, sipariş işleme ve sevkiyatta kullanılan iş uygulamalarına erişimi sınırlayan bir ağ kesintisine yol açtı. 28 Ağustos itibarıyla kurtarma çalışmaları sürüyor, ancak sistemlerin tamamen ne zaman normale döneceğine ilişkin bir takvim bulunmuyordu. 2

Konunun en önemli ayrımı, şirketin operasyonel sistemleriyle vücuda yerleştirilmiş cihazlar arasındaki fark. Boston Scientific, mevcut incelemesine göre implante kalp ritmi yönetim cihazlarının işlevinde bilinen bir etkilenme olmadığını açıkladı. Daha önce uzaktan takibe alınmış cihazlardan veri aktarımı ve sağlık çalışanlarının bu verilere erişimi de etkilenmedi. Ancak yeni uzaktan takip kayıtları ve aktivasyonları kesinti nedeniyle normal şekilde tamamlanamadı. 15

Siber saldırı hangi operasyonları aksattı?

Şirket, olayın bazı bilgi teknolojisi sistemlerini, işletim sistemlerini ve iş uygulamalarını etkilediğini bildirdi. İlk açıklamalara göre sorun, implante tıbbi ürünlerin çalışmamasından çok, şirketin günlük faaliyetlerini destekleyen sistemlere erişimin kaybedilmesi veya kısıtlanmasıydı.

Kesinti Boston Scientific'in şu süreçlerini etkiledi:

• ürün üretimi;
• müşteri siparişlerinin normal şekilde işlenmesi;
• tamamlanan siparişlerin olağan sistemler ve lojistik süreçler üzerinden sevk edilmesi. 12

Bu üç alanın aynı anda aksaması, Boston Scientific'in tıbbi cihazlarına güvenen hastaneler ve diğer müşteriler açısından bir tedarik zinciri sorunu yarattı. Şirket elektronik siparişleri, elektronik veri değişimi (EDI) ve Global Health Exchange (GHX) üzerinden alabiliyordu. Ancak siparişler normal şekilde karşılanıp gönderilmek yerine, etkilenen sistemler yeniden çalışana kadar bekleme kuyruğuna alınıyordu. 15

Siparişler tamamen durdu mu?

Boston Scientific'in 29 Ağustos tarihli güncellemesi, ilk kesinti açıklamasına göre daha net bir tablo sundu. EDI ve yerel uygulamalar üzerinden elektronik sipariş alımı devam edebiliyordu; ancak bu siparişler sistemler yeniden çevrimiçi olana kadar bekletiliyordu. Dolayısıyla sipariş kabulü tamamen durmamıştı. Asıl sorun, siparişlerin karşılanması ve sevkiyata çıkarılmasıydı. 15

Şirket, kuyrukta bekleyen siparişlerin ne zaman işleme alınacağını veya normal sevkiyat kapasitesinin ne zaman geri döneceğini açıklamadı. Bu belirsizlik, müşterilerin teslimat tarihlerini öngörmesini zorlaştırırken Boston Scientific'in de olayın ticari ve finansal sonuçlarını değerlendirmeyi sürdürmesine neden oldu. 12

Üretim ve İrlanda operasyonlarında ne yaşandı?

Ağ kesintisi Boston Scientific'in üretim faaliyetlerine de ulaştı. Ancak kamuya açık bilgiler, hangi tesiste ne kadar üretim kaybı yaşandığını gösteren ayrıntılı bir döküm sunmadı. Şirketin İrlanda'daki Cork, Clonmel ve Galway tesisleri küresel kesintiden etkilenen noktalar arasındaydı. Bu operasyonlarda 7.000'den fazla kişi çalışıyor. 310

Cork'tan gelen haberlere göre çalışanların bir bölümü eve gönderildi veya mümkün olduğunda uzaktan çalışmaya yönlendirildi. Galway'deki personele de evden çalışma talimatı verildi; tesiste bulunması gereken çalışanlar için düzenlemeler operasyonel ihtiyaçlara göre yapıldı. Kesinti uzadıkça Cork'taki bazı vardiyalar da iptal edildi.

Bu gelişmeler, siber saldırıların yalnızca ofis bilgisayarlarını etkileyen bir BT sorunu olmadığını gösteriyor. Ağ erişimi, üretim sistemleri veya bunları destekleyen iş uygulamaları çalışmadığında fabrika personeli de görevlerini normal biçimde sürdüremeyebiliyor. Raporlar üretimde aksama olduğunu doğruluyor; ancak İrlanda'daki her tesiste ne kadar üretim kaybı yaşandığını ortaya koymuyor.

İmplante kalp cihazları etkilendi mi?

Boston Scientific'in 29 Ağustos güncellemesine göre implante kalp ritmi yönetim cihazlarının işlevinde bilinen bir etkilenme bulunmuyordu. Daha önce uzaktan takibe alınmış cihazların veri göndermesi ve sağlık çalışanlarının uzaktan yönetim bilgilerine erişmesi de etkilenmedi. 15

Sorun, yeni hastaların sisteme dahil edilmesiyle ilgili destek süreçlerinde ortaya çıktı. Ağ kesintisinden sonra başlatılan yeni uzaktan takip kayıtları veya aktivasyonları normal şekilde tamamlanamadı. Bu durum, implante cihazların devre dışı bırakıldığı, değiştirildiği veya ele geçirildiği anlamına gelmiyor; şirketin destek ve kayıt sistemlerindeki operasyonel bir kısıtlamaya işaret ediyor. 15

Bu ayrım hastalar ve klinisyenler açısından kritik: Kamuya açıklanan doğrulanmış etki, Boston Scientific'in destekleyici sistemleri ve operasyonları üzerindeydi. Şirket, mevcut implante cihazların işlevinde bir kesinti tespit etmediğini bildirdi.

Şirket nasıl müdahale etti, sistemler ne zaman düzelecek?

Boston Scientific olayı tespit ettikten sonra siber olay müdahale prosedürlerini devreye aldı. Şirket, tehdidi araştırmak ve kontrol altına almak için dışarıdan siber güvenlik uzmanlarıyla çalışmaya başladı. 269

İlk açıklamalarda etkilenen işlevlerin ve sistem erişiminin geri getirilmeye çalışıldığı belirtildi; ancak tam iyileşme için bir tarih verilmedi. Şirket ayrıca olayın kapsamını, niteliğini ve etkilerini; bunun operasyonları veya finansal sonuçları üzerinde önemli bir etkisi olup olmayacağını incelemeyi sürdürdü. 12

29 Ağustos'taki güncelleme, etki alanıyla ilgili önemli bir ayrıntı sundu: Boston Scientific'in devam eden değerlendirmesine göre bulut tabanlı sistemler ve uygulamalar etkilenmemiş, yetkisiz faaliyet belirli şirket içi sistemlerle sınırlı kalmıştı. Bu bilgi bilinen etki alanını daraltıyor; ancak sistemlerin tamamen ne zaman geri döneceğini veya olası veri erişiminin sonuçlarını açıklığa kavuşturmuyor. 15

Hangi sorular hâlâ yanıtlanmadı?

28 Ağustos'a kadar yapılan kamuya açık açıklamalarda şu ayrıntılar yer almadı:

• saldırganların ilk erişimi nasıl sağladığı;
• hangi sistemlere erişildiği;
• verilerin dışarı çıkarılıp çıkarılmadığı;
• fidye yazılımı kullanılıp kullanılmadığı;
• saldırının arkasındaki grubun kim olduğu.

Ayrıca sunulan kaynaklarda doğrulanmış bir hasta verisi ihlali veya fidye talebi raporu bulunmuyor. Ancak bu, veri alınmadığının ya da fidye yazılımı ihtimalinin elendiğinin kanıtı değil. Bu başlıklar, şirketin soruşturması tamamlanana kadar yanıtlanmamış sorular olarak değerlendirilmelidir. 2

Finansal etkisi neden önem taşıyor?

Boston Scientific, 2025 yılında yaklaşık 20 milyar dolar gelir bildirdi. Üretim, sipariş işleme ve sevkiyatta uzun süreli bir kesinti yaşanması, teknik saldırı belirli sistemlerle sınırlı kalsa bile gelirlerin zamanlamasını ve müşteri teslimatlarını etkileyebilir. 1

Şirketin hisseleri, yatırımcıların kısa vadeli gelirler üzerindeki olası etkiyi değerlendirmesiyle 26 Ağustos'ta yaklaşık yüzde 4,5 geriledi. Piyasa tepkisinin temelinde belirsizlik vardı: Boston Scientific kesintinin ne kadar süreceğini veya olayın finansal açıdan önemli bir etki yaratıp yaratmayacağını henüz belirlememişti.

Sağlık siber güvenliği açısından ders ne?

Boston Scientific vakası, sağlık sektöründeki siber riskin yalnızca elektronik sağlık kayıtları veya internete bağlı tıbbi cihazlarla sınırlı olmadığını gösteriyor. Şirket içi sistemlere yönelik bir saldırı; üretimi, sipariş kuyruklarını, lojistiği, müşteri desteğini ve yeni hastaların uzaktan takibe alınması için gereken idari süreçleri de aksatabiliyor.

Bu olayda doğrulanmış temel zarar, operasyonların kullanılabilirliğiyle ilgiliydi: Boston Scientific bazı siparişleri alabiliyor, ancak bunları normal şekilde işleyip sevk edemiyordu; üretim de kesintiden etkilenmişti. Buna karşılık şirket, implante kalp cihazlarının işlevinde veya daha önce başlatılmış uzaktan takipte bilinen bir etki olmadığını açıkladı. 15

Bu ayrım önemli olsa da gelecekteki risklere karşı bir güvence değil. Sağlık kuruluşları ve medikal teknoloji şirketleri; kurumsal ağlar, üretim ortamları, bulut uygulamaları, lojistik platformları ve hasta destek hizmetleri arasındaki bağlantıları birlikte korumak zorunda. Boston Scientific'in yaşadığı kesinti, tıbbi cihazların kendisi çalışmaya devam ederken bile ağın başka bir katmanındaki sorunun hastaneleri, çalışanları ve farklı ülkelerdeki müşterileri ne kadar hızlı etkileyebileceğini ortaya koydu.