Boston Scientificのサイバーセキュリティインシデント

経緯

CrowdStrikeの調査の要約によると、Boston Scientificが8月25日に最初に特定したのは、ネットワークの一部の区画でシステムが使えなくなる問題だった⁠［17］。その後の確認で、権限の無い第三者のアクセスが原因と分かった⁠［17］。Boston Scientificは検知の後にインシデント対応の手順を発動し、外部のサイバーセキュリティの専門家の支援を受けて、脅威の評価と封じ込めの調査を始めた⁠［1］。

8月26日の公式サイトの告知では、インシデントがネットワークの停止を引き起こしたと説明した⁠［3］。翌日の告知で、影響が製品の製造にも及んでいると加えた⁠［4］。受注の処理と出荷はできないものの、EDIで電子的に注文を受け付け、後の出荷のために待ち行列に置いた⁠［4］。

Boston Scientificは8月29日の告知で、クラウドのシステムとアプリケーションに影響は無く、不正な活動は一部のオンプレミスのシステムに限られると説明した⁠［6］。8月30日には、8月25日以降、このインシデントに関係する不正な活動の兆候は環境内に見られないとした⁠［7］。9月3日の告知では、不正なアクセスが一部の内部向けのIT基盤に限られていたとの確信を強めていると述べた⁠［8］。

9月8日の報告書（Item 1.05）では、インシデントを同社の一部のシステムでの不正な活動と書き、報告書の日付までに継続中の不正なアクセスの証拠は見つかっていないとした⁠［2］。The Recordは8月26日の記事で、水曜日までに犯行を名乗るグループは無かったと報じた⁠［18］。

目次へ

時系列

目次へ

影響範囲

医療機器への影響

Boston Scientificは8月27日の告知で、植込み型の心調律管理（CRM）機器の機能に影響は無く、機器のデータの送信と、障害の前から遠隔モニタリングしていた機器のデータへの医療従事者のアクセスにも影響しないと説明した⁠［4］。対象のCRM機器は、CRT-D、ICD、CRT-P、ペースメーカー、S-ICD、挿入型心臓モニター（ICM）などの心臓植込み型電子機器である⁠［5］。

影響を受けたのは遠隔モニタリングの新規の有効化だった⁠［4］。ICM以外の新しく植え込んだCRM機器では新しい通信機を有効化できず、有効化までデータは遠隔患者管理システムに送られない⁠［4］。新しく植え込んだICMは患者のスマートフォンと対にできず、データが遠隔モニタリングシステムに届かないが、記録は続き、Clinic Assistantアプリでの対面の読み出しで送れる⁠［4］。

8月28日の告知では、Boston Scientificのネットワークに接続していない機器への既知の影響は無く、影響を受けたネットワーク環境が同社の機器を通じて病院のネットワークのサイバーセキュリティのリスクを高めた証拠も無いとした⁠［5］。9月5日の告知では、製品の品質の分析で、LATITUDEの遠隔モニタリングの新規有効化の障害のほかに製品の機能が損なわれた形跡は無いと説明した⁠［9］。9月8日の医療従事者向けの文書によると、8月25日以降の有効化は使用説明書に従い、通信機はLATITUDE NXT、ICMはLATITUDE Clarityに患者を登録して行う⁠［13］。

英国の病院への供給

NHS Supply Chainは8月27日から英国の病院向けの告知（ICN 3464）を更新し、Boston Scientificの自動の受注・ピッキング・梱包・出荷の機能が使えず、EDIで受けた注文は待ち行列に止まっていると伝えた⁠［16］。8月28日の更新では、Boston Scientificが選択的内部放射線療法（SIRT）の製品は供給の混乱の影響を受けないと確認したと伝えた⁠［16］。

9月2日の更新では、手作業のシステムで限られた数の注文が出荷された⁠［16］。Boston Scientificがサプライヤーポータルを使えないため、NHS Supply Chainが待ち行列の注文の納期を手作業で延ばした⁠［16］。保健社会福祉省、NHS England、National Supply Disruption Response（NSDR）と、臨床上の優先順位を決める臨床参照グループの設置も進めた⁠［16］。

NHS Supply Chainは9月3日、48時間以内に予定する手術に製品が緊急に要る病院に、Boston Scientificの英国のカスタマーケアへ電話するよう案内した⁠［16］。9月4日の更新では、Boston Scientificは欧州物流センターの在庫で、全部ではないが大半の製品の処理と出荷を再開し、製造はまだ再開していなかった⁠［16］。9月7日にはBoston Scientificのサプライヤーポータルへのアクセスが戻り、9月11日には内視鏡・泌尿器内視鏡・腫瘍アブレーションの製品の代替品の一覧が作られた⁠［16］。9月25日の更新で、製造と物流が通常に戻ったとして告知を閉じた⁠［16］。

目次へ

対応と現状

調査の結論

CrowdStrikeの調査の要約によると、脅威アクター（Threat Actor）は外部に面したネットワーク管理機器〔注1〕を通じて環境に入り、その後のアクセスはオンプレミス環境の一部に限られた⁠［17］。8月25日以降に続く脅威アクターの活動の証拠も、データを暗号化させた証拠も見つからなかった⁠［17］。Microsoft 365、メール、共同作業と生産性の基盤にも、脅威アクターの活動の証拠は無かった⁠［17］。

対話的な遠隔アクセスの証拠が無かったのは、人事・福利厚生、医療機器の保守、製造と保守、SCADA、ソフトウェア開発、製品開発の各システムである⁠［17］。社内で開発・管理する製造や医療機器の環境、SalesforceやSAPなどのSOX関連の財務システム、SaaSとクラウドのアプリケーションでも、アプリケーションの段階で認証した証拠は無かった⁠［17］。要約は、Boston Scientificから伝えられた封じ込めの措置を挙げた⁠［17］。

• 最初の侵入に使われたネットワーク機器の切り離しと廃止⁠［17］
• 脅威アクターが使ったIPアドレスとドメインのファイアウォールでの遮断⁠［17］
• パスワードのリセット⁠［17］
• 影響を受けた環境の追加の強化⁠［17］

CrowdStrikeはBoston Scientificの依頼でFalconの機能を追加し、監視と脅威の検知を続けている⁠［17］。Boston Scientificは9月22日の告知で、調査と封じ込めに基づき、顧客と取引先は通常の業務とシステムの接続を安全に続けてよいとした⁠［12］。9月3日のよくある質問では、個人データの侵害を確認したら、プライバシー法に従って本人・規制当局・顧客に通知するなどの措置をとると説明していた⁠［8］。

Boston Scientificは9月9日の告知で、業務アプリケーションを順に復旧させており、使えない顧客には個別に知らせるとした⁠［11］。一部の顧客には一時的な遅れが残りうる⁠［11］。

業績への影響

8月26日の報告書の段階で、Boston Scientificはインシデントが同社に重要な影響を及ぼすと合理的に見込まれるかを、まだ判断していなかった⁠［1］。9月8日の報告書では、2026年第3四半期と通期の業績に重要な影響を及ぼす可能性が高いと判断した⁠［2］。7月29日に示した第3四半期と通期の純売上高の伸びと調整後EPSの見通しの範囲には届かない可能性が高いとした⁠［2］。影響を受けた売上の一部は取り戻す見込みだが影響の全体はまだ分からず、長期の財務状態には重要な影響を見込まないと説明した⁠［2］。

10月28日の決算発表では、第3四半期の純売上高は51億3,800万ドルだった⁠［14］。前年同期と比べて1.5パーセント増えた⁠［14］。通期の純売上高の伸びは報告ベースで約4.25パーセント、調整後EPSは3.16〜3.18ドルと見込む⁠［14］。同じ日の決算資料は、サイバーインシデントの影響を事業ごとに挙げた⁠［15］。

目次へ

未公表の事項

• 侵入の入口となったネットワーク管理機器の製品名と、侵入の手口
• 攻撃者の名称と、ランサムウェアの関与の有無（The Recordは、広報担当者がランサムウェアの関与を答えなかったと報じた⁠［18］）
• インシデントによる売上の減少額
• 業務アプリケーションの全面的な復旧の日付

注

• 〔注1〕Boston Scientificの9月22日の告知は、入口を「外部に面したネットワーク機器」と書き、管理（management）の語を付けていない⁠［12］。

出典

更新記録

• 2026年8月30日：公開した。
• 2026年10月28日：Boston Scientificの10月28日の公表を加えた。

目次へ