8月25日検知のサイバー攻撃から1週間。クラウドは無事、犯人・手口は不明のまま、新規植え込みの心臓デバイスが遠隔監視につながらない事態に。公式の8月30日・9月1日更新と英報道から現状を整理した
【続報案内・2026年9月7日更新】この記事は9月4日公開時点のまとめです。その後の9月5日の公式更新をまとめた続報：主要拠点の出荷回復、製造と新規遠隔監視の状況があります。
米医療機器大手ボストン・サイエンティフィックが8月25日に検知したサイバー攻撃から1週間が経ち、同社は公式ページで8月30日と9月1日に新たな更新を公表しました。確定した事実は次の5点です。第一に、新しく植え込まれた心臓デバイスが遠隔監視(通院せずに機器の状態を医師が遠隔で見守る仕組み)に接続できなくなっています。第二に、既に体内にある機器の機能自体や、以前から遠隔監視していた機器のデータ送信・閲覧には影響がないとしています。第三に、被害は自社設備内のオンプレミス環境に限定され、クラウド側は無事で、8月25日以降の新たな不正活動は確認されていません。第四に、止まっていた受注・出荷のうち一部の製品で出荷再開に向けた動きが始まりました。第五に、犯人・侵入手口・ランサムウェアの関与・データ窃取の有無・完全復旧の時期は、9月1日時点でも公表されていません。
心臓に埋め込んだ機械の見守りが止まる。ホラー映画の導入かと思ったら、原因はサーバー室のほうだった――というのが今回の話である。しかも患者の心臓ではなく、病院の物流と医師のパソコン画面が止まっている。命に直結するのかと言われれば「今のところは違う」、安心していいのかと言われれば「まだ分からない」。この宙ぶらりんな1週間を、公式発表の時系列でほどいていく。※個人の感想です
時系列で整理します。前回記事(8月31日版)では8月29日時点の状況までを伝えました。その後の動きは次の通りです。
8月27日の更新で、同社は製品への影響範囲を具体化しました。ネットワークに接続していない機器への影響はなく、医師が接続していない機器を使う能力にも影響はないとしています。心臓リズム管理(CRM)機器については、植え込まれた機器の機能、データ送信能力、医療従事者が遠隔で患者管理データにアクセスする能力への影響はないとしています。ただし書きが付くのが常だが、今回はただし書きのほうが長い。
8月28日の更新では業務面の説明が加わりました。顧客は引き続き発注でき、電子的な受発注(EDI)で受け付けた注文は将来の履行に向けてキューに積むとしています。出荷・処理ができない一方で、注文の受付だけは止めないという対応です。
8月30日の更新が今回の核心です。同社は8月25日以降の新たな不正活動は確認されていないこと、被害がオンプレミスの一部に限定されクラウド側は無事であることを改めて示し、セキュリティ企業CrowdStrikeを含む外部専門家と復旧を進めているとしました。そして、週内の一部製品の出荷再開に向けた動きを明らかにしました。9月1日20時44分(米東部時間)の更新では、調査は継続中であり、検証の済んだ正確な情報を順次提供するとしています。
一方、英computing.co.ukが9月2日に報じたところでは、新しく植え込まれたペースメーカーなどの心臓リズム管理機器が遠隔監視システムに接続できない状態が続いています。新規の遠隔監視用通信機器を有効化できないため、記録されたデータは医師の遠隔管理システムに送られないという内容です。同紙はあわせて、米医薬品卸McKessonへの別件のサイバー攻撃で2.84億件規模の患者情報が主張されていることも伝えています。
今回の続報で注目すべきは、影響の舞台が「物流」から「診療の現場」へにじみ出してきた点です。遠隔監視は、ペースメーカーを植え込んだ患者が通院しなくても、不整脈などの異常を医師が早期に把握できる仕組みです。新規の接続が止まるということは、新しく手術を受けた患者がこの見守りの対象外になることを意味します。既存患者の機器は無事だとされていますが、見守りの網からこぼれる人が出ている点は、前回時点より一歩踏み込んだ影響といえます。
また、8月25日の検知から1週間以上が経過しても、犯人・侵入手口・ランサムウェアの関与・データ窃取の有無・完全復旧の時期がいずれも不明のままという点も重く見る必要があります。クラウドが無事で新たな不正活動もないという説明は前向きですが、「何が起きたか分からないが、とりあえず広がってはいない」という段階に留まっていることになります。
日本国内でボストン・サイエンティフィック製の医療機器による治療を予定している方や、関連する医療機関に勤務する方にとっては、引き続き納期の遅れに注意が必要です。一部製品の出荷再開に向けた動きはあるものの、完全復旧の時期は示されていません。新しくペースメーカーなどの植え込み手術を受ける予定の方は、遠隔監視の開始時期について担当医に確認しておくと安心です。
同社との直接取引がない一般の読者にとっては、基幹システムへの一度の攻撃が、製造・物流・診療支援のすべてに波及する構図が改めて示された事例として受け止めるのがよいでしょう。特に「クラウドは無事でもオンプレミスがやられれば事業は止まる」という点は、クラウド移行が進んだ企業でも社内設備が残る限り他人事ではない話です。
「遠隔監視」とは、ペースメーカーなどの体内機器が記録した心臓の状態を、専用の通信機器を経由して医師に送り、通院しなくても異常を早期発見する仕組みのことです。今回止まっているのは、この仕組みへの「新規の接続」であり、既に接続済みの機器の見守りは続いているとされています。
「オンプレミス」とは、クラウドサービスを使わず、自社の設備内にサーバーやシステムを設置して運用する形態のことです。同社は今回の不正な活動がクラウドではなくこの環境の一部に限定されていると説明しています。
「EDI(電子データ交換)」とは、企業間で受発注などの取引情報を専用の電子的な経路でやり取りする仕組みのことです。同社は出荷ができない間も、この経路での注文受付は続けています。
IT Postでは、今回の更新内容を「前進はしているが、核心はまだ闇の中」と受け止めています。
*「クラウドは無事」という報告を4回読まされる頃には、読者も覚えてしまった。知りたいのは無事な部分の inventory ではなく、いつ全部動くのかだ。*出荷の一部再開に向けた動きや、既存患者への影響なしという説明は評価できます。一方で、新規患者の遠隔監視が止まっているという事実は、8月31日時点の「既存患者は大丈夫」という整理を上書きする重さがあります。医療機器メーカーの説明は「大丈夫な部分」からではなく「まだ駄目な部分」から始めてほしい。完全復旧の時期、データ窃取の有無、侵入手口の3点が明らかになるまで、同社の説明を注視する必要があると考えます。※個人の感想です
同社は段階的な復旧を進めており、一部製品の出荷再開が最初のマイルストーンになります。次に注目すべきは、新規の遠隔監視接続がいつ再開するか、データの窃取があったのかなかったのか、そして攻撃の手口と犯人像です。医療セクターではMcKessonへの別件の攻撃も明らかになっており、医療・医薬を狙う一連の動きとして各国の当局や業界団体が警戒を強める可能性があります。IT Postでは、完全復旧の発表やデータ流出の有無に関する続報が公表され次第、あらためて取り上げます.
9月5日の公式更新で、主要物流拠点の出荷は通常時と同等以上に回復。全滅菌施設が稼働し、大半の製造施設も再開した。受注残やLATITUDEの新規遠隔監視への影響を分けて確認する。
米ボストン・サイエンティフィックが8月25日にサイバー攻撃を検知、ペースメーカーなど医療機器の受注・出荷システムが世界規模で停止。何が起きているのかを確かめた
システム開発大手シーイーシーが、8月に起きたデータセンターサービスの障害について最終報を公表した。原因はランサムウェア攻撃で、侵入経路と種別を特定。顧客システムと個人情報への影響はないとした。経緯を整理する
NTTスマートコネクトが8月31日にフォレンジック調査の完了を報告。不審ファイルの設置は確認されたが顧客情報の漏えい・改ざんの痕跡はなし。9月中旬の復旧環境提供へ向けた二択と、利用者が今すべきことを整理した
