보스턴 사이언티픽(NYSE: BSX)은 월요일 미국 증권거래위원회(SEC)에 8월에 공시한 사이버 공격이 중요(material)하다고 보고했다. 가장 명확한 신호는 공시 양식 자체다. 8월 보고서는 기타 사건에 사용되는 포괄 항목인 Item 8.01로 제출됐지만, 월요일 보고서는 중요 사이버보안 사건에 지정된 항목인 Item 1.05로 제출됐다. 이는 단순한 표현 변경이 아니다. 이는 회사가 공식적으로 내린 결정이며, SEC는 이에 시한을 부여한다.
이 구분이 중요한 이유는 그 시한이 언제 시작되느냐에 있다. SEC의 사이버보안 공시 규정에 따르면, 기업은 사고가 중요하다고 판단한 날로부터 영업일 기준 4일 이내에 Item 1.05로 공시해야 한다 — 발견일로부터 4일이 아니다. 아직 판단을 내릴 수 없는 기업은 먼저 Item 8.01로 공시한 뒤 나중에 상향 조정하는 것이 허용된다. 보스턴 사이언티픽이 바로 그 절차를 따랐다.
회사는 8월 25일 침입을 확인했다. 다음 날 제출한 공시에서 "이 사건이 회사에 중요한 영향을 미칠 가능성이 있는지 아직 판단하지 못했다"고 밝혔다. 이번 주 보고서의 날짜는 9월 7일이다. 침해를 발견하고 연간 실적에 영향을 미칠 것이라 결론 내리기까지 약 2주가 걸렸다.
상향 조정 경로를 이해하는 것이 중요한데, 바로 그곳에 핵심 정보가 있기 때문이다. 포괄 항목으로 먼저 제출하는 것은 일반적이고 완전히 합법적인 조치다. 아직 재무적 결론을 내릴 수 없는 상황에서 시장에 실제로 확인된 혼란을 알릴 수 있게 해준다. 또한 이 방식은 회사가 언제 판단을 유보하기를 멈췄는지 날짜가 기록된 기록을 남긴다.
바로 그 기록이 통신사 요약본이 압축해버리는 부분이다. 최종 결론 — 가이던스를 달성하지 못할 것 — 은 어느 쪽이든 동일하다. 공시는 보도자료에 없는 무언가를 추가한다. 회사 스스로가 평가를 바꾼 시점에 찍은 타임스탬프, 그리고 그 아래를 선택한 규제 항목이 바로 그것이다.
공시의 실제 내용
Item 1.05 보고서는 이번 사건이 "2026년 3분기 및 연간 실적에 중요한 영향을 미칠 가능성이 있다"고 명시하고 있다. 또한 보스턴 사이언티픽은 두 기간 모두에 대해 "순매출 성장률 및 조정 EPS 가이던스 범위를 달성하기 어려울 것"이라고 밝혔다. 회사는 해당 범위를 새로운 수치로 대체하지 않았다. 현재 시장은 공시된 목표치 없이 움직이고 있다.
해당 범위는 7월 말 SEC에 제출된 2분기 실적 발표에서 제시됐다.
- 2026년 3분기: 보고 기준 순매출 성장률 약 3%~5%, 조정 EPS $0.80~$0.82
- 2026년 연간: 보고 기준 순매출 성장률 약 5.5%~6.5%, 유기적 성장(환율 변동 및 인수 효과 제거 후 매출) 5%~6%, 조정 EPS $3.28~$3.32
조정 EPS는 인수 및 구조조정 비용 등 경영진이 일회성으로 간주하는 항목을 제외한 수치다. 유기적 성장은 환율과 거래 효과를 제거한 수치다. 두 지표 모두 애널리스트들이 모델링하고 회사가 경영 목표로 삼는 수치다. 분기 중간에 이 수치를 잃은 시장은 다음 보고서가 나올 때까지 기준 없이 움직여야 한다.
시사점
법적 절차를 걷어내면 한 가지가 남는다. 이식형 심장 장치를 제조하는 기업이 분기 일부 동안 제품을 출하할 수 없게 됐고, 그 피해가 실적 수치에 영향을 미칠 것이라는 결론을 내리기까지 약 2주가 걸렸다는 것이다.
이것이 주목해야 할 핵심이다. 제조업체에 대한 사이버 공격은 보통 데이터의 언어로 묘사된다 — 유출된 기록, 잠긴 시스템. 하지만 이번 사건은 물류 사건으로 읽히는 것이 더 적절하다. 결정적 제약은 물리적이었다. 존재하지만 출고할 수 없는 제품이 문제였다.
공시 양식 선택이 두 번째 이유에서도 중요하다. 보도자료만으로는 남기지 못했을, 회사 스스로의 입장 변화에 날짜가 찍힌 표식을 남긴다.
피해 규모 추산
공시 자료를 통해 이번 혼란의 영향 범위를 대략적으로 추산할 수 있다. 보스턴 사이언티픽은 연간 보고서에서 3분기 단독 수치를 별도로 공시하지 않지만, 차감 방식으로 도출할 수 있다.
| 2025년 순매출 | 금액 |
|---|---|
| 연간 | $20.074B |
| 1분기 | $4.663B |
| 2분기 | $5.061B |
| 4분기 | $5.286B |
| 3분기 (도출) | ~$5.064B |
가이던스 범위 중간값인 4% 성장률을 적용하면, 2026년 3분기는 약 $5.27 billion을 향해 가고 있었다. 이번 공격이 덮친 기준 수치가 바로 이것이다. 공시 어디에도 수요가 변했다는 내용은 없다. 변한 것은 출하 능력이었다.
3분기는 92일이다. 보스턴 사이언티픽이 침입을 발견한 날은 8월 25일이다. 사건 발생 이후 남은 기간은 36일 — 전체 기간의 약 39%다.
단순 비례 계산으로는 가이던스 기준 3분기 매출의 약 $2.06 billion이 이 기간 안에 포함된다. 이 수치는 손실이 아니라 노출 구간이다. 시스템이 다운된 상태에서 생산·멸균·포장·출하가 이뤄져야 했던 매출이지, 사라진 매출이 아니다. 회사에 따르면 주요 물류센터는 현재 "정상 수준이거나 그 이상의 속도로 고객 주문을 처리·출하"하고 있으며, 모든 멸균 시설이 가동 중이고, 전 세계 대부분의 생산 시설에서 제조가 재개됐다. 회사는 주문 적체가 해소되면서 피해를 입은 매출의 "일부"를 회복할 것으로 예상하고 있다.
같은 계산을 수익에 적용하면 더 단순하다. 가이던스 기준 3분기는 연간 조정 EPS의 약 4분의 1에 해당한다. 동일한 39% 구간을 적용하면, 연간 조정 이익의 약 10분의 1이 8월 25일 이후 구간에 걸린다. 회복 전 피해의 상한선이 바로 이것이다.
멸균 공정이 핵심인 이유
멸균 관련 내용은 쉽게 지나칠 수 있지만 그래서는 안 된다. 의료기기는 멸균을 완료해야만 출하가 가능하며, 이 과정은 허가되고 검증된 공정이다. 시스템이 다운됐다고 해서 단순히 다른 건물로 옮길 수 없다. 공장과 물류센터 사이에 위치하며, 공급망에서 가장 좁은 병목 지점이다.
이 단계가 멈추면 완성품이 물리적으로는 존재하지만 판매할 수 없는 상태로 쌓인다. 회사의 복구 순서가 물류 먼저, 다음 멸균, 그다음 제조 순으로 진행된 이유가 바로 여기에 있다. 의료기기 사업에서의 회복은 스위치를 켜는 것이 아니다. 순서대로 소화해야 하는 대기열이다.
하반기 구조적 문제
가동 중단 아래에는 구조적 문제가 자리하고 있다. 보스턴 사이언티픽의 1분기 조정 EPS는 $0.80, 2분기는 $0.86이었다. 상반기 합계 $1.66이며, 연간 범위 중간값 $3.30에서 하반기 몫은 약 $1.64다. 하반기 가이던스는 상반기와 비슷한 수준이었고, 중간값 기준으로는 소폭 하회하는 수준이었지 이를 뛰어넘는 구조가 아니었다.
이 점은 잠시 짚고 넘어갈 만하다. 2026년 계획은 하반기 가속에 기대지 않았다. 하반기가 그저 현 수준을 유지하는 데 기댔다. 이런 구조의 가이던스는 여유가 없다. 바로 그 유지가 목표였던 반기에 혼란이 발생하면, 피해를 흡수해줄 더 강한 분기가 뒤에 없다.
의료기기 업계의 선례
의료기기 업계에는 최근 유사한 사례가 있다. LineVest는 보스턴 사이언티픽을 이전에 다룬 적이 없지만, 2026년 7월 31일 사이버 공격으로 1분기 실적이 타격을 받은 스트라이커(NYSE: SYK)를 보도한 바 있다. 당시 피해는 시기적 효과에 그쳤다. 1분기의 발목 잡힘으로 상반기 유기적 매출 성장률은 5.0%에 머물렀지만, 2분기 단독으로는 9.0%로 반등했다.
이 비교는 양방향으로 해석된다. 스트라이커는 한 분기 안에 성장 속도를 회복했고, 연간 전망을 포기하는 대신 좁혔다 — LineVest는 당시 스트라이커의 조정 EPS 하단이 실제로 상향됐다고 보도했다. 보스턴 사이언티픽은 스트라이커보다 한 발 더 나아갔다. 시장에 기존 범위가 유지되지 않을 것이라고 밝혔고, 아직 대체 수치를 제시하지 않았다. 이것이 더 심각한 사고를 반영하는 것인지, 아니면 더 보수적인 공시 방침을 반영하는 것인지는 공시 내용만으로는 판단할 수 없다.
회사 자체 업데이트에서 나온 운영 관련 세부 내용 하나는 재무 정보와 함께 주목해야 한다. 보스턴 사이언티픽은 심장박동조율기, 제세동기, 스텐트를 제조한다. 회사에 따르면 가동 중단 기간 중 심장 장치의 원격 모니터링 등록이 중단됐다가 현재 복구됐으며, 현재까지의 제품 품질 분석에서 제품 기능 이상은 발견되지 않았다. 미국 사이버보안 기업 크라우드스트라이크(NASDAQ: CRWD)가 다른 외부 전문가들과 함께 조사에 참여하고 있다.
시장이 이미 반영한 것
주가는 월요일 공시 훨씬 이전부터 하락했다. StockAnalysis.com에 따르면 주식은 9월 4일 $47.80에 마감됐다. 이는 지난 1년간 $42.20~$109.50 범위의 하단 근처다.
그 수준에서 시가총액은 약 $70.7 billion이다(희석 주식 수 약 14억 8천만 주 기준). 로이터는 공시 이후 프리마켓 거래에서 주가가 약 4.5% 하락했다고 보도했다. 이 움직임은 위의 범위와 비교하면 미미하다. 운영 관련 내용의 상당 부분은 8월부터 이미 공개돼 있었고, 월요일 공시가 추가한 것은 새로운 사실이 아닌 공식 명칭이었다.
이 분석이 틀릴 경우
이번 사태를 수요 문제가 아닌 시기적 문제로 보는 시각에는 특정 실패 시나리오가 있다. 보스턴 사이언티픽의 제품은 예약된 시술에 사용된다. 출하가 중단된 동안 병원들이 경쟁사 제품으로 해당 시술을 다시 예약했다면, 주문 적체는 전환되지 않고 사라진다. 심장내과와 소화기내과에서 의사의 제품 선호도는 양방향 모두에서 고착성이 강해, 빠른 반등을 지지하는 만큼이나 반등을 가로막을 수도 있다.
검증 기준은 단순하다. 4분기에 적체 주문이 예정대로 소화된다면, 이번 가동 중단은 시간을 잃은 것이다. 그렇지 않다면, 시장 점유율을 잃은 것이다.
결론을 가를 날짜
보스턴 사이언티픽은 10월 28일 3분기 실적을 발표한다. 그 발표에서 세 가지가 이번 공시보다 더 많은 것을 답해줄 것이다. 현재 달성 불가라고 밝힌 3%~5% 범위 대비 매출 미달 규모는 총 피해를 보여준다. 경영진이 연간 전망을 다시 제시하느냐 여부는 회사가 얼마나 가시성을 확보했다고 판단하는지를 보여준다. 그리고 적체 주문 관련 코멘트는 이연된 주문이 여전히 남아 있는지를 보여줄 것이다.
그때까지 가장 구체적인 사실은 공시 헤더에 있는 것이다. 회사는 아직 모를 때 쓰는 항목에서, 이미 알 때 쓰는 항목으로 스스로 공시를 바꿨다.
심혈관 및 의료기기(MedSurg) 부문별 노출 내역, 4개 분기 매출 및 마진 추이 표, 스트라이커·메드트로닉·애보트와의 유사 사건 분기 비교, 현금흐름 브리지 분석은 전체 보고서에 수록돼 있습니다.
출처
- SEC 8-K Item 1.05 공시, 2026년 9월 7일
- SEC 8-K Item 8.01 공시, 2026년 8월 26일
- BSX 2026년 2분기 실적 발표 (SEC)
- BSX 2025년 4분기 / 연간 실적 (SEC)
- 보스턴 사이언티픽 사이버보안 업데이트
- Yahoo Finance: BSX 사이버 공격 기사
- SEC 사이버보안 공시 규정 (Morrison & Foerster)
면책 고지: 이 기사는 저널리즘이며 투자 조언이 아닙니다. LineVest는 등록 투자자문업자가 아니며 매수·매도·보유 권고를 하지 않습니다. 모든 수치는 2026년 9월 8일 기준 SEC 공시, 회사 발표 및 인용된 제3자 자료에서 발췌했습니다. 독자는 독자적인 조사를 수행하고 재무적 결정을 내리기 전에 전문 자격을 갖춘 전문가와 상담하시기 바랍니다.
