ボストン・サイエンティフィック、サイバー攻撃によるインシデントで世界的な業務障害　顧客注文の処理・出荷に影響

米医療機器大手のボストン・サイエンティフィック（Boston Scientific Corporation）は2026年8月26日、同社の一部ITシステムに影響するサイバー攻撃によるセキュリティインシデントが発生し、世界的な業務障害につながっていると公表しました。

同社は8月25日にインシデントを特定し、インシデント対応手順を発動するとともに、外部のサイバーセキュリティ専門家の支援を受けて影響範囲の調査と脅威の封じ込めを開始しました。

影響は一部の情報システムと業務アプリケーションへのアクセスに及び、顧客注文の処理や製品の出荷にも支障が出ています。Boston Scientificは復旧作業を進めていますが、全面復旧の時期は現時点で分かっていません。

同日提出した米証券取引委員会（SEC）へのForm 8-Kでは、インシデントの全容、性質、運用面・財務面への影響はまだ判明しておらず、会社に重大な影響を与える可能性が合理的に高いかどうかについても、現時点では判断していないとしています。

なお、Boston Scientificの公式発表とSEC提出書類では、本件を「cybersecurity incident」と表現しています。ランサムウェアであるか、不正アクセスによってデータが取得されたか、攻撃主体が誰かといった点は公表されていません。

Boston Scientificサイバーインシデントのサマリー

• 【確認済み】Boston Scientificは2026年8月25日、一部ITシステムに影響するサイバーセキュリティインシデントを特定しました。
• 【確認済み】インシデントによってネットワーク障害が発生し、世界的な事業運営に影響しています。
• 【確認済み】一部の情報システムと業務アプリケーションへのアクセスが制限されています。
• 【確認済み】顧客注文の処理と製品出荷に影響が出ています。
• 【確認済み】同社はインシデント対応手順を発動し、外部のサイバーセキュリティ専門家と調査・封じ込めを進めています。
• 【確認済み】全面復旧の時期は現時点で分かっていません。
• 【確認済み】インシデントの全体的な範囲、性質、運用面・財務面への影響は調査中です。
• 【確認済み】SECへのForm 8-Kでは、会社に重大な影響を与える可能性があるかどうかについて、まだ判断していないとしています。
• 【未確認】ランサムウェアによる攻撃かどうかは公表されていません。
• 【未確認】個人情報、顧客情報、医療情報、企業機密などのデータ流出・窃取は確認されていません。
• 【未確認】侵入経路や脆弱性、攻撃主体は公表されていません。
• 【未確認】製造設備や医療機器そのものへの影響について、公式発表では具体的に説明されていません。

項目	内容
公表日	2026年8月26日
インシデント特定日	2026年8月25日
対象組織	Boston Scientific Corporation
インシデント	一部ITシステムに影響するサイバーセキュリティインシデント
影響範囲	世界的な事業運営
主なシステム影響	一部情報システム・業務アプリケーションへのアクセス制限
業務影響	顧客注文の処理、製品出荷
全面復旧時期	未定
調査	外部サイバーセキュリティ専門家と継続中
ランサムウェア	公表されていません
情報流出	公表・確認されていません
攻撃主体	公表されていません
財務影響	調査中
重大な影響の可能性	会社は現時点で判断していない
SEC開示	Form 8-K、Item 8.01「Other Events」

8月25日にインシデントを特定、世界的な業務障害に

Boston Scientificによると、同社は2026年8月25日、一部のITシステムへ影響するサイバーセキュリティインシデントを特定しました。

SECへ提出したForm 8-Kでは、このインシデントによってネットワーク障害が発生し、同社の世界的な事業運営に支障が出ていると説明しています。

同社は事案の検知後、インシデント対応手順を発動し、外部のサイバーセキュリティ専門家の支援を受けながら、脅威の評価と封じ込めに着手しました。

現時点では、インシデントがどのように発生したのかは明らかにされていません。

「サイバーセキュリティインシデント」という表現のみが使われており、攻撃者による不正アクセスが確認されたのか、マルウェアが展開されたのか、認証情報が悪用されたのかといった技術的な詳細は公表されていません。

顧客注文の処理と製品出荷に影響

公式発表で具体的に確認されている業務影響は、顧客注文の処理と製品の出荷です。

Boston Scientificは、一部の情報システムや業務アプリケーションへのアクセスに制限が生じており、その中には顧客注文を処理し、出荷するための機能も含まれると説明しています。

医療機器メーカーでは、医療機関や販売代理店からの受注、在庫確認、倉庫での出荷指示、物流管理など複数のシステムが連携しています。

そのため、製造設備や製品自体が直接侵害されていなくても、ERP、受注管理、倉庫管理などの業務システムへアクセスできなくなれば、供給プロセスに影響が及ぶ可能性があります。

ただし、Boston Scientificは今回、どのシステムが停止・制限されているのか、特定製品や地域で供給停止が発生しているのかまでは公表していません。

「医療機器が供給できなくなった」「病院で治療に影響が出ている」といった二次的な影響も、現時点では公式には確認されていません。

全面復旧時期は未定

Boston Scientificは影響を受けた機能とシステムアクセスの復旧を進めていますが、全面復旧の時期はまだ分かっていません。

SEC提出書類では、インシデントによるアクセス制限や業務障害は「今後も継続すると予想される」としています。

このため、8月26日の公表時点では、単発の短時間障害ではなく、一定期間の業務影響が続くことを前提に対応していることが分かります。

一方、具体的に何日または何週間を要するのかについて、会社は見通しを示していません。

インシデントの範囲・性質・財務影響は調査中

Boston Scientificは、今回のサイバーセキュリティインシデントについて調査を継続しています。

SECへの8-Kでは、「full scope, nature and impacts」、つまり全体の影響範囲、インシデントの性質、運用面・財務面への影響がまだ判明していないとしています。

同社は、このためインシデントが会社に重大な影響を与える可能性が合理的に高いかどうかについて、現時点では判断していません。

これは「重大な影響はない」と判断したという意味ではありません。

調査が完了しておらず、業務停止期間や出荷遅延、復旧費用、外部専門家への対応費、顧客への影響などを含む全体的な影響をまだ評価できていない段階です。

なお、今回のForm 8-KはItem 8.01「Other Events」として提出されています。

ランサムウェアかどうかは未公表

Boston Scientificの公式発表には「ransomware」という表現はありません。

一次情報から確認できるのは「サイバーセキュリティインシデント」と「ネットワーク障害」までです。

また、ランサムウェアグループやサイバー攻撃グループによる犯行声明は確認できていません。

情報流出や患者データへの影響も確認されていない

公式声明とSEC提出書類では、情報流出について確認されたとは記載されていません。

SEC提出書類の将来リスクに関する記述には、会社や第三者が保有する機密情報が不正に公開される可能性などが一般的なリスクとして挙げられていますが、これは今回のインシデントでデータ流出が確認されたことを意味しません。

現時点で、患者情報、医療情報、従業員情報、顧客情報、製品設計データなどが第三者に取得されたとの発表はありません。

したがって、本件を「情報漏えい」「個人情報流出」として扱うことはできません。

また、同社が製造する医療機器そのものが侵害された、患者の体内にあるデバイスへ影響が出た、といった情報も公表されていません。

今回確認されているのは企業ITと業務アプリケーションへの影響です。

第2四半期売上は54億4,200万ドル、供給停止の財務影響を調査

Boston Scientificは2026年7月29日に公表した第2四半期決算で、四半期売上高が54億4,200万ドルだったと発表しています。

世界規模で医療機器を供給する企業であるため、注文処理や出荷機能の障害が長期化した場合には、売上計上の遅れ、緊急物流、顧客対応などを通じて財務面へ影響する可能性があります。

ただし、Boston Scientific自身は8月26日時点で、今回のインシデントによる具体的な損失額や売上への影響額を公表していません。

SEC提出書類でも財務影響は調査中とされています。

そのため、第2四半期売上高から今回の損失規模を推計することはできません。

医療機器業界ではサイバー障害による受注・出荷影響が相次ぐ

医療機器メーカーへのサイバーインシデントでは、医療機器そのものより、企業の受発注・出荷・物流システムが停止し、医療機関への供給へ影響するケースがあります。

2026年3月には医療機器大手Strykerもサイバー攻撃を受け、電子的な受注システムや出荷に障害が発生しました。

セキュリティ対策Labでは、Strykerの事案について、社内Microsoft環境への影響や受注・出荷障害を整理しています。

ただし、Boston ScientificとStrykerのインシデントに技術的な関連が確認されたわけではありません。

攻撃主体や侵入経路が同一であるとする情報もなく、医療機器業界を狙った同一キャンペーンと推測することは避ける必要があります。

医療機関・調達部門への示唆

Boston Scientificの製品を調達する医療機関や販売事業者にとって、今後確認すべきなのはサイバー攻撃の技術的詳細だけではありません。

実際の業務に直結するのは、注文受付、在庫照会、出荷、緊急配送などの機能がどこまで利用できるかです。

特定製品の供給が遅れる場合に備え、医療機関側では重要在庫の残量、代替製品の有無、緊急時の発注窓口、販売代理店との連絡経路を確認しておく必要があります。

特に、手術や治療予定と連動して使用する医療機器では、通常の在庫水準だけでなく、納期遅延が何日続いた場合に診療へ影響するかを把握することが重要です。

ただし、Boston Scientificは現時点で特定製品の供給停止や医療機関での診療影響を公表していません。過度な在庫確保や供給停止を前提とした対応ではなく、同社や正規販売経路からの最新情報を確認する必要があります。

情報システム・事業継続部門への示唆

今回の事案は、サイバーインシデントが企業ITに留まらず、受注・出荷という事業プロセスへ直結する例です。

情報システム部門では、ERPや受注管理システムの復旧だけでなく、システム停止中にどの程度まで手動処理へ切り替えられるかをBCPとして確認する必要があります。

注文受付、承認、在庫引当、倉庫出荷、配送指示、請求までのどの工程が特定システムへ依存しているかを整理し、停止時の代替手順を事前に用意しておくことが重要です。

また、サイバーインシデント対応では、感染端末や侵害サーバーの復旧速度だけをKPIにすべきではありません。

業務システムを安全に再開するには、侵入経路の封じ込め、認証情報の再設定、データ整合性の確認、ネットワーク監視などを実施した上で、業務側と連携して段階的にサービスを戻す必要があります。

医療関連企業では、供給停止が患者や医療機関へ波及する可能性があるため、セキュリティ部門、IT部門、物流、営業、法務、広報、BCP担当が同時に対応できる体制が求められます。

今後の確認ポイントは、インシデントの侵入経路、ランサムウェアなどマルウェアの有無、情報流出の有無、全面復旧時期、注文・出荷への具体的な影響、財務面での重要性に関するBoston Scientificの追加開示です。

出典

• Update on recent cybersecurity incident – Boston Scientific
• Form 8-K filed August 26, 2026 – Boston Scientific Corporation / U.S. Securities and Exchange Commission
• Boston Scientific announces results for second quarter 2026 – Boston Scientific
• 医療機器 大手 ストライカーへのサイバー攻撃は社内 Microsoft 環境へ影響、引き続き受注・出荷には障害 – セキュリティ対策Lab