マサチューセッツ州を拠点とするバイオテクノロジー・生物医学工学企業、ボストン・サイエンティフィック(Boston Scientific)は、一部の情報技術システムに影響を及ぼす大規模なサイバーインシデントを公表しました。今回のインシデントによりネットワーク障害が発生し、一部の業務アプリケーションへのアクセスができなくなったほか、会社の業務運営に支障が出ています。
ボストン・サイエンティフィックは医療機器メーカーで、127カ国で事業を展開し、全世界で約59,000人の従業員を抱え、年間売上高は約201億ドルに上ります。同社はペースメーカーや心臓アブレーションシステムなどの循環器インターベンション向け機器を製造しているほか、神経調節、脳神経外科、泌尿器科・骨盤底疾患、内視鏡、呼吸器、画像下治療、血管外科向けの各種機器・製品も手がけています。同社の製品は、年間4,800万人を超える患者の治療に使用されています。
2026年8月26日の発表によると、同社が本インシデントを検知したのは2026年8月25日でした。同社は米証券取引委員会(SEC)に対しても、株主に周知するためForm 8-Kの報告書を提出しています。同届出の時点では、ボストン・サイエンティフィックは本インシデントが会社に重大な影響を及ぼす可能性が合理的にあるかどうかをまだ判断できていませんでした。
ボストン・サイエンティフィックは直ちにインシデント対応手続きを開始し、被害状況の評価や封じ込め、そして不正な活動の性質と範囲を特定する作業を支援するため、外部のサイバーセキュリティ企業と契約しました。同社によると、今回のインシデントにより一部の運用システムや業務アプリケーションへのアクセスができなくなっており、顧客からの注文処理・出荷対応能力にも影響が出ているといいます。この混乱は世界規模に及んでおり、アイルランド・コークにある製造拠点では従業員が業務を行えない状態となったため帰宅を命じられました。現在、影響を受けたシステムや機能を安全かつ確実に復旧させる作業と、データ窃取の有無や範囲を特定するための調査が進められています。ボストン・サイエンティフィックは現時点で、システムが完全に復旧し通常業務が再開される時期の見通しを示せていません。
ボストン・サイエンティフィックは、ランサムウェアが関与していたかどうか、どのようにシステムへのアクセスが行われたか、身代金要求を受けたかどうか、データ窃取の主張を把握しているかどうかなど、今回の攻撃の具体的な性質について公式には明らかにしていません。攻撃の実行主体とみられる脅威アクターは、今のところ犯行声明を出していないようですが、攻撃発生からまだ2日しか経っていないことを踏まえると、これは特に珍しいことではありません。
ボストン・サイエンティフィックへのサイバー攻撃は、医療技術・バイオテクノロジー企業を狙った一連の攻撃の最新事例です。過去の事例としては、最近公表されたShinyHuntersによるバクスター・インターナショナル(Baxter International)への攻撃や、メドトロニック(Medtronic)、ストライカー(Stryker)、アボット・ラボラトリーズ(Abbott Laboratories)、アイリズム(iRhythm)、アダプトヘルス(AdaptHealth)へのサイバー攻撃が挙げられます。これらの攻撃の背後には複数の脅威グループが存在しており、金銭目的のデータ窃取・恐喝を行うグループ、ランサムウェアグループ、そしてストライカーの事例ではイランに関連する脅威グループが関与していました。
医療技術企業を狙ったサイバー攻撃は通常、データ窃取と恐喝を伴いますが、今回のインシデントが示すように、業務運営に大きな混乱をもたらし、それが患者にまで影響を及ぼしかねないケースもあります。Suzu LabsのセキュアAIソリューション・サイバーセキュリティ担当シニアディレクター、ジェイコブ・クレル(Jacob Krell)氏は次のように述べています。「出荷予定日に間に合わない心臓デバイスは、手術の中止につながりかねません。だからこそボストン・サイエンティフィックのような企業は、恐喝の標的として非常に魅力的なのです。攻撃者は何かを破壊する必要すらありません。ダウンタイムのコストを、要求している金額よりも高く感じさせればそれで済むのです」
クレル氏はさらにこう続けています。「医療機器は、病院が土壇場で簡単に別のものに切り替えられる類のものでもありません。医師は特定の機器を選定し、患者の予定は組まれ、在庫はすでに用意されており、手術もその機器を前提に計画されています。注文処理と出荷が滞れば、その影響はすぐに病院側にも及びます。より厄介なのは、製造ラインを再稼働させることです。これらは通常のITシステムとは異なります。FDA規制対象の医療機器の製造・追跡に関わるソフトウェアは、バリデーション済みの品質システムの内部に組み込まれています。サーバーを復旧させることと、そのシステムから出てくるデータが依然として信頼できると証明することは、まったく別の問題なのです」
翻訳元: https://www.hipaajournal.com/boston-scientific-cyberattack/
