2026年、医療機器・医療技術分野ではサイバー攻撃が相次いだ。複数の企業が、情報技術システムや業務運用に影響を及ぼす侵害、または従業員や患者のデータを不正アクセスにさらす事案を発表した。企業の一覧には、Stryker、Intuitive Surgical、Medtronic、Abbott、iRhythm、AdaptHealth、Cook Medical、Baylor Genetics、UFP Technologiesが含まれる。
Strykerは、業務への影響が最も大きかった事例の一つとして注目される。攻撃は3月11日、同社のグローバルなMicrosoft環境を標的とし、数週間にわたって注文処理、製造、出荷システムを停止させた。同社は3月17日にシステムの復旧を開始し、3月27日までに製造業務の大半を復旧、4月10日には完全稼働に戻ったと発表した。一方で、第1四半期の業績に重大な財務的影響が生じる可能性があると警告した。5月、最高経営責任者（CEO）のKevin Loboは、攻撃が四半期業績に大きな影響を残したと述べたが、同社は通期見通しを維持した。7月31日までに、Strykerは受注残への対応を続け、Inari Medicalに関連する供給の混乱にも対処していた。7月には、回復を継続していると報告した。
データ流出と第三者を介した侵害
Strykerの事案から数日後、Intuitive Surgicalはフィッシング攻撃を受け、権限のない第三者が顧客に関する事業情報や通信、さらに従業員および会社のデータにアクセスできたと発表した。また、Medtronicは4月27日、企業情報技術システムのデータ侵害が発生したと報告し、7月2日から影響を受けた人々への通知を開始した。同社は、アクセスされたデータがインターネット上で公開された証拠はないとし、事業または財務業績への重大な影響は予想していないと確認した。
Abbottは7月17日、21億ドルでExact Sciencesを買収する取引後、同社のがん診断事業がサイバー攻撃を受けたと発表したが、アクセスされた情報の種類は特定しなかった。AdaptHealthは7月7日、攻撃者がソーシャルエンジニアリング攻撃を通じて同社のシステムにアクセスし、患者データが盗まれたと述べた。6月16日、iRhythmは第三者に属するアプリケーションからデータが盗まれたことを明らかにし、攻撃者が盗んだデータを公開しない見返りとして金銭を要求したと述べた。
最新の開示
Baylor GeneticsとCook Medicalは、8月にインシデントを明らかにした最新の2社となった。Baylor Geneticsは、第三者が従業員および患者の情報にアクセスした可能性があると述べた。そこには検査結果、社会保障番号、金融口座の詳細が含まれていた。Cook Medicalでは、詐欺行為によって第三者が同社の一部システムにアクセスできる状態となったが、同社は機密データや保護対象データが取得された証拠は見つかっておらず、業務は通常どおり稼働していると述べた。
UFP Technologiesも2月に、同社のデータに影響を及ぼした攻撃について調査し、重大な影響は予想していないものの、出荷に短期的な遅延が生じる可能性があると警告した。これらの事例は、影響がデータの機密性に限られないことを示している。Strykerの場合、製造、注文、出荷にまで影響が及んだ一方、他の企業は、影響を受けた人々への通知や、開示された可能性のあるデータの評価に直面している。
なぜこの一連の事案が重要なのか
今回の一連の事案は、すべてのインシデントが同じ手法で実行されたことを示すものではない。事例には、フィッシング、ソーシャルエンジニアリング、企業システムへの侵入、第三者を介した潜在的なアクセスが含まれている。しかし、製造、流通、医療データを管理するために相互接続されたシステムに依存する企業が多い医療機器分野で、リスクの範囲が広がっていることを示している。一部のインシデントの影響はなお評価中であり、影響を受けた情報量、業務への影響、財務上の影響は企業ごとに異なっている。