Kibernetički napad zaustavio isporuke medicinske opreme

Boston Scientific otkrio je 25. kolovoza kibernetički incident koji je ograničio pristup dijelu informacijskih sustava i izazvao globalni poremećaj poslovanja, navodi se u izvještaju podnesenom američkoj Komisiji za vrijednosne papire. Napad je zahvatio aplikacije potrebne za obradu i otpremu narudžbi medicinskih uređaja, pa se digitalni zastoj izravno prenio na fizički opskrbni lanac.

Kompanija je nakon otkrivanja aktivirala plan odgovora, angažirala vanjske stručnjake za kibernetičku sigurnost i počela ograničavati prijetnju. U službenoj objavi od 26. kolovoza navela je da pojedine funkcije i pristup sustavima obnavlja, ali nije mogla odrediti rok potpunog povratka. SecurityWeek je novu stručnu obradu slučaja objavio 27. kolovoza.

Boston Scientific proizvodi uređaje i terapijska rješenja za kardiologiju, neurologiju, onkologiju i druge intervencijske postupke. Zastoj zato nije jednak prekidu obične uredske aplikacije: kašnjenje u obradi narudžbi može utjecati na bolnice, distributere i raspoloživost proizvoda potrebnih za zakazane postupke. Kompanija nije objavila popis pogođenih država, proizvoda ili kupaca.

Regulatorni obrazac 8-K potvrđuje da su ograničeni sustavi i poslovne aplikacije koje podupiru operacije, uključujući procesiranje i slanje narudžbi. Ne navodi da je proizvodnja potpuno zaustavljena niti da su medicinski uređaji u uporabi tehnički kompromitirani. Razlikovanje je važno jer incident zasad pogađa poslovnu infrastrukturu, a ne potvrđenu sigurnost implantata ili kliničkih sustava.

Opseg, priroda i posljedice još se istražuju. Boston Scientific nije objavio je li riječ o ransomwareu, krađi vjerodajnica, iskorištenoj ranjivosti ili napadu dobavljačkog lanca. Nije potvrđeno ni jesu li podaci zaposlenika, pacijenata, bolnica ili poslovnih partnera preuzeti. Svaka tvrdnja o počinitelju ili krađi podataka zato bi u ovoj fazi bila nagađanje.

Kompanija još nije odlučila je li incident razumno vjerojatno materijalan za financijske rezultate. Američka pravila traže pravodobno izvještavanje ulagača o važnim kibernetičkim događajima, ali prijava prije završetka istrage ne znači automatski da je konačna šteta velika. Materijalnost će ovisiti o trajanju zastoja, propuštenim ili odgođenim isporukama, trošku obnove i mogućim pravnim zahtjevima.

Tržišna reakcija bila je negativna jer nepoznat rok oporavka otežava procjenu prihoda u tromjesečju. Usporedbe s napadima na druge proizvođače medicinske opreme daju samo okvir, ne prognozu za Boston Scientific. Različite mrežne arhitekture, sigurnosne kopije, obujam segmentacije i spremnost ručnih procesa mogu skratiti ili produljiti obnovu.

Najvažniji operativni problem je ovisnost otpreme o centralnim aplikacijama. Tvrtka može imati gotov proizvod u skladištu, ali bez sustava za narudžbe, provjeru kupca, dokumentaciju, serijski broj, regulatorno praćenje i logistiku ne može sigurno završiti isporuku. U medicinskoj industriji ručno zaobilaženje tih kontrola nosi veći rizik nego u običnoj maloprodaji.

Incident pokazuje zašto kontinuitet poslovanja mora obuhvatiti više od sigurnosne kopije podataka. Potrebni su odvojeni identiteti, pričuvna komunikacija, unaprijed definirani ručni postupci i prioriteti za kritične narudžbe. Boston Scientific nije objavio koje je alternativne procese aktivirao, pa se njihova učinkovitost može procijeniti tek kada kompanija navede opseg zaostalih isporuka i tempo obrade.

Mogući regulatorni učinak ovisit će i o podacima. Ako istraga utvrdi neovlašten pristup osobnim ili zdravstvenim informacijama, otvorit će se obveze obavještavanja u različitim državama i jurisdikcijama. Ako podaci nisu kompromitirani, glavni će rizik ostati operativni zastoj, ugovorne obveze prema kupcima i trošak forenzike te obnove sustava.