Cyberangreb rammer producent af pacemakere verden over

Den amerikanske producent af medicinsk udstyr Boston Scientific er ramt af et cyberangreb, som virksomheden selv beskriver som en global forstyrrelse af driften. Angrebet blev identificeret tirsdag den 25. august 2026, og dagen efter indgav virksomheden en 8-K-anmeldelse til det amerikanske børstilsyn SEC for at orientere sine aktionærer. Her oplyste selskabet, at det oplever "forstyrrelser og begrænset adgang" til de IT-systemer og forretningsapplikationer, der er kritiske for driften.

Boston Scientific er blandt verdens største producenter af implanterbart hjerteudstyr, herunder pacemakere og defibrillatorer. Netop derfor er det vigtigt at være præcis med, hvad der faktisk er ramt — og hvad der ikke er oplyst.

Hvad der er bekræftet

Det, virksomheden selv har meldt ud, handler om kontorsystemer og forretningsdrift, ikke om udstyr:

• Angrebet blev identificeret 25. august 2026, og 8-K-anmeldelsen til SEC blev indgivet 26. august
• Adgangen til informationssystemer og forretningsapplikationer er afskåret eller begrænset på tværs af virksomheden
• Det gælder blandt andet de systemer, der bruges til at behandle og afsende kundeordrer
• Virksomheden oplyser, at den endnu ikke kan give en tidsplan for, hvornår systemerne er fuldt genoprettet, og normal drift genoptaget
• Selskabet har ikke afgjort, om hændelsen får væsentlig økonomisk betydning
• Ingen ransomware-gruppe har ifølge TechCrunch taget ansvaret for angrebet

Boston Scientific oplyser selv, at virksomhedens produkter årligt anvendes i behandlingen af omkring 48 millioner patienter. Selskabet benytter ifølge TechCrunch primært Microsoft og Amazon Web Services til sin virksomhedsinfrastruktur.

Hvad der ikke er oplyst — og hvorfor det er vigtigt

Her ligger den afgørende del af historien. Boston Scientifics talsperson Chanel Hastings har ifølge TechCrunch afvist at kommentere, om patienter med implanteret udstyr påvirkes, hvad patienter i givet fald bør gøre, og hvad selve hændelsen bestod i.

Det betyder, at der på nuværende tidspunkt ikke foreligger oplysninger om, at pacemakere, defibrillatorer eller andet implanteret udstyr skulle være kompromitteret. Der er heller ikke oplyst noget om, at patientdata skulle være stjålet. Det er ikke det samme som en frikendelse — det er ganske enkelt ikke besvaret.

Skellet er væsentligt, fordi implanteret hjerteudstyr fungerer selvstændigt i patienten og ikke er afhængigt af, at producentens ordresystemer er oppe. Et angreb på en virksomheds administrative IT-miljø er en anden type hændelse end et angreb på selve udstyret. Så længe virksomheden ikke siger mere, er den ansvarlige beskrivelse derfor: driften er ramt, udstyret er ikke rapporteret ramt.

Tusindvis af ansatte sendt hjem i Cork

Den mest konkrete beskrivelse af omfanget kommer fra Irland, hvor Boston Scientific har en stor produktion. Ifølge Irish Examiner blev dagholdet på fabrikken på Model Farm Road i Cork sendt hjem klokken 14 om tirsdagen med fuld løn, efter at netværkskommunikationen var afbrudt på tværs af virksomheden. Kontraktansatte på aftenholdet blev efterfølgende sendt hjem og fik fire timers løn, mens de fastansatte på aftenholdet takkede nej til det samme tilbud og valgte at blive stand by.

Omkring 1.200 personer arbejder på Model Farm Road-fabrikken. Boston Scientific har tre irske anlæg — i Cork, Clonmel og Galway — med tilsammen over 7.000 ansatte. TechCrunch beskriver, at tusindvis af medarbejdere på tværs af Cork-campus blev sendt hjem.

Onsdag morgen fik medarbejderne i Cork besked på, at de, der kan arbejde hjemmefra, skal gøre det, mens undersøgelsen og genopretningen står på. Senior vicepræsident Catherine Stoessel oplyste, at "genopretningsarbejdet vil foregå i faser, hvor lokationer og områder prioriteres efter forretningsmæssigt behov".

Det egentlige problem: forsyningskæden

Den reelle risiko ved denne type angreb er ikke, at udstyr fjernstyres. Den er, at udstyr ikke kommer frem.

Når de systemer, der behandler og afsender kundeordrer, ligger ned, er det hospitalernes leverancer, der står stille. Medicinsk udstyr er ikke lagervarer, hospitaler har i ubegrænset mængde — bestemte modeller, størrelser og lot-numre bestilles til konkrete indgreb. Som Jacob Krell fra Suzu Labs formulerer det over for HIPAA Journal: "En hjerteanordning, der ikke når sin afsendelsesdato, kan betyde en aflyst operation."

Det er samme mønster, vi har set i andre sektorer, hvor det ikke var produktionen, men de omkringliggende systemer, der blev ramt. Da Clop-gruppen angreb PTC's industrielle produktsoftware Windchill og FlexPLM, var målet heller ikke fabrikkerne, men de platforme, produktionen hænger sammen om.

TechCrunch bemærker desuden, at Boston Scientific ikke står alene: også Abbott Laboratories, Medtronic og Stryker har været ramt af cyberangreb inden for den seneste tid, hvoraf angrebene ifølge mediet er tilskrevet iransk-støttede hackere. Producenter af medicinsk udstyr er dermed blevet et gennemgående mål — ikke et enkeltstående uheld.

Hvad betyder det for Danmark?

Her skal vi være ærlige om, hvad der ikke kan bekræftes. Boston Scientific leverer til hospitaler i hele Europa, men vi har ikke kunnet verificere nogen konkret oplysning om, hvorvidt danske hospitaler er berørt af forsinkede leverancer. Hverken virksomheden eller danske myndigheder har oplyst noget om det, og det ville være at gå for vidt at antage en dansk effekt, alene fordi selskabet opererer globalt.

Det, der derimod er værd at holde øje med, er tidshorisonten. Virksomheden har som nævnt ikke kunnet oplyse, hvornår systemerne er tilbage. Bliver ordrebehandlingen ved med at være begrænset i uger frem for dage, er det på det tidspunkt, spørgsmålet om leverancer til europæiske hospitaler bliver konkret — og ikke før.

Der er heller ikke oplyst noget om, hvorvidt data er stjålet. Erfaringen fra andre sager er, at det spørgsmål ofte først bliver besvaret uger efter selve driftsforstyrrelsen. Da Framework-laptop-databruddet ramte alle kunder, tog det tid, før omfanget lå fast. Indtil Boston Scientific siger andet, er der ikke grundlag for at antage hverken det ene eller det andet.

Konklusion

Boston Scientific-sagen er indtil videre en driftssag, ikke en patientsikkerhedssag — men det er en beskrivelse, der bygger på, hvad virksomheden har sagt, og lige så meget på hvad den ikke har villet svare på. Det er den vigtigste forudsætning at holde fast i, indtil der kommer mere på bordet.

De næste konkrete milepæle vil være, om virksomheden opdaterer sin SEC-anmeldelse, om der kommer en udmelding om patienter og data, og hvor lang tid ordre- og forsendelsessystemerne er nede. Er du patient med implanteret udstyr fra Boston Scientific, er der på nuværende tidspunkt ingen offentliggjort anbefaling om at gøre noget — og hvis du er i tvivl, går vejen gennem din behandlende afdeling, ikke gennem producenten.