Кібератака на Boston Scientific: що сталося і які операції було порушено

Boston Scientific виявила кібератаку 25 серпня 2026 року та повідомила про неї наступного дня у регуляторному звіті до Комісії з цінних паперів і бірж США (SEC). Інцидент спричинив глобальний мережевий збій, через який компанія втратила або обмежила доступ до частини інформаційних систем і бізнес-застосунків, що використовуються у виробництві, обробці замовлень і відвантаженні продукції. Станом на 28 серпня відновлення тривало, але строків повного повернення до нормальної роботи не оголосили. 2

Ключове розмежування: за даними Boston Scientific, розслідування не виявило відомого впливу на роботу вже імплантованих пристроїв для керування серцевим ритмом або на передачу даних від пристроїв, які до збою вже були підключені до дистанційного моніторингу. Водночас нові реєстрації та активації дистанційного моніторингу були обмежені. 15

Що саме порушила кібератака

Boston Scientific повідомила, що інцидент зачепив окремі ІТ-системи, операційні системи та бізнес-застосунки. Безпосереднім наслідком стала не заявлена несправність імплантованих виробів, а втрата або обмеження доступу до систем, необхідних для щоденної роботи компанії.

Через це Boston Scientific не могла у звичному режимі:

• виробляти продукцію;
• обробляти замовлення клієнтів;
• відвантажувати готові замовлення через стандартні системи та логістичні процеси. 12

Для лікарень та інших клієнтів, які залежать від постачання медичних виробів Boston Scientific, це перетворилося на проблему ланцюга поставок. Компанія зазначила, що може приймати замовлення в електронному вигляді — зокрема через EDI та Global Health Exchange (GHX), платформу обміну даними у сфері охорони здоров’я. Однак такі замовлення потрапляли до черги й мали бути виконані пізніше, а не оброблятися та відправлятися у звичайному режимі. 15

Чи могла компанія приймати замовлення

Оновлення Boston Scientific від 29 серпня уточнило ситуацію. Прийом електронних замовлень через EDI та локальні застосунки залишався можливим, але їх утримували до відновлення роботи уражених систем. Тобто прийом замовлень повністю не зупинився; основні обмеження стосувалися їх виконання та відвантаження. 15

Компанія не повідомила, коли саме почне обробляти накопичені замовлення і коли відновиться звичайна пропускна здатність доставки. Відсутність чіткої дати залишала клієнтів у невизначеності щодо строків отримання продукції, а Boston Scientific — у процесі оцінювання можливих операційних і фінансових наслідків. 12

Виробництво та майданчики в Ірландії

Збій поширився на виробничі операції Boston Scientific, хоча доступні повідомлення не містили даних про втрати виробництва на кожному окремому заводі. Серед уражених глобальним мережевим збоєм були ірландські майданчики компанії в Корку, Клонмелі та Голвеї. Загалом на цих об’єктах працює понад 7 000 людей. 310

За повідомленнями з Корка, працівників відправляли додому або просили працювати дистанційно, якщо це було можливо. Співробітникам у Голвеї також рекомендували працювати з дому, а потребу в присутності на майданчику визначали залежно від операційних завдань. У міру продовження збою деякі зміни в Корку згодом скасували.

Ці заходи показують, як кібератака на корпоративні та операційні технології може вийти далеко за межі офісної ІТ-інфраструктури. Коли недоступні мережа, виробничі системи або допоміжні бізнес-застосунки, виробничий персонал також може втратити можливість працювати у звичному режимі. Водночас наявні повідомлення підтверджують факт порушення виробництва, але не дають змоги визначити обсяг втрат на кожному ірландському об’єкті.

Чи постраждали імплантовані кардіологічні пристрої

Станом на оновлення компанії від 29 серпня Boston Scientific не повідомляла про відомий вплив на роботу імплантованих пристроїв для керування серцевим ритмом. Також не було виявлено відомого впливу на передачу даних від пристроїв, які вже перебували під дистанційним моніторингом, або на доступ медичних працівників до цієї інформації. 15

Обмеження стосувалося нових процедур підтримки: реєстрації чи активації дистанційного моніторингу, розпочаті після мережевого збою, не можна було завершити у звичайному порядку. Це операційна проблема допоміжних систем і процесу підключення, а не свідчення того, що імплантовані пристрої були вимкнені, змінені або скомпрометовані. 15

Для пацієнтів і лікарів ця відмінність має принципове значення: підтверджений вплив стосувався систем і процесів, які підтримують роботу компанії, тоді як у публічному оновленні Boston Scientific не вказала на порушення функціональності вже імплантованих пристроїв.

Реакція компанії та стан відновлення

Після виявлення інциденту Boston Scientific активувала процедури реагування на кіберінциденти та залучила зовнішніх фахівців із кібербезпеки для розслідування і локалізації загрози. 269

Спочатку компанія заявила, що працює над відновленням уражених функцій і доступу до систем, але не може назвати строк повного відновлення. Паралельно вона оцінювала масштаб, характер і наслідки інциденту, зокрема можливий суттєвий вплив на діяльність або фінансові результати. 12

В оновленні від 29 серпня Boston Scientific повідомила, що на той момент її оцінювання вказувало на відсутність впливу на хмарні системи та застосунки, а несанкціонована активність була обмежена окремими локальними системами. Це звузило відомий периметр інциденту, але не дало відповіді на всі питання щодо відновлення або можливого витоку даних. 15

Що досі невідомо

У публічних повідомленнях, доступних станом на 28 серпня, не було вказано:

• як зловмисники отримали первинний доступ;
• до яких саме систем вони проникли;
• чи були викрадені дані;
• чи використовувалося програмне забезпечення-вимагач;
• яка група стояла за атакою.

Також у наданих матеріалах не було підтвердженого повідомлення про витік даних пацієнтів або вимогу викупу. Однак відсутність таких повідомлень не доводить, що дані не були викрадені або що версію з програмою-вимагачем уже виключено. Компанія продовжувала встановлювати повний масштаб і наслідки інциденту. 2

Фінансові та ринкові наслідки

У 2025 році Boston Scientific отримала приблизно 20 мільярдів доларів доходу. Тривале порушення виробництва, обробки замовлень і доставки може вплинути на строки визнання доходу та постачання клієнтам, навіть якщо технічне проникнення виявиться обмеженим окремими системами. 1

26 серпня акції компанії подешевшали приблизно на 4,5% на тлі побоювань інвесторів щодо можливого впливу на найближчі доходи. Реакція ринку відображала передусім невизначеність: Boston Scientific ще не встановила, як довго триватиме збій і чи матиме інцидент суттєві фінансові наслідки.

Чому цей інцидент важливий для кібербезпеки охорони здоров’я

Випадок Boston Scientific показує, що кіберризики у сфері охорони здоров’я не обмежуються електронними медичними записами або безпосередньою роботою підключених пристроїв. Компрометація корпоративних і локальних систем може перервати виробництво, поставити в чергу замовлення, порушити логістику, роботу служб підтримки та адміністративні процедури, необхідні для підключення нових пацієнтів до дистанційного моніторингу.

У цьому інциденті підтверджений збиток полягав передусім у втраті операційної доступності: Boston Scientific могла приймати частину замовлень, але не могла нормально їх обробляти та відвантажувати; водночас було порушене виробництво. При цьому компанія не повідомила про відомий вплив на роботу імплантованих кардіологічних пристроїв або на вже налаштований моніторинг. 15

Це розмежування важливе, але воно не усуває майбутніх ризиків. Компаніям у сфері охорони здоров’я та медичних технологій потрібно враховувати зв’язки між корпоративними мережами, виробничими середовищами, хмарними застосунками, логістичними платформами й сервісами підтримки пацієнтів. Збій Boston Scientific демонструє, як швидко проблема в одному рівні інфраструктури може вплинути на лікарні, працівників і клієнтів у різних країнах — навіть якщо самі медичні пристрої продовжують працювати.