Novocure ramt af cyberangreb: Data fra over 1.400 amerikanske patienter eksponeret

Novocure har oplyst, at et datterselskab i midten af august 2026 opdagede uautoriseret adgang til nogle af virksomhedens informationssystemer. Den foreløbige undersøgelse viste, at begrænsede patient-, medarbejder- og oplysninger om sundhedspersonale var blevet eksponeret. Selskabet understreger dog, at dets medicinske behandlingsudstyr ikke blev tilgået, at driften ikke blev kompromitteret, og at alle systemer fungerede. 1

Hvilke patientoplysninger blev eksponeret?

Den største berørte gruppe omfatter over 1.400 amerikanske patientjournaler. Her var de tilgåede oplysninger begrænset til Novocures interne patient-ID-numre. Ifølge selskabet bruges numrene kun internt, og hverken patientnavne eller andre identificerende oplysninger blev eksponeret for denne gruppe. 1

For en mindre gruppe på under 50 patienter i det vestlige USA omfattede de tilgåede data yderligere identificerende oplysninger. Novocure har ikke nærmere angivet, hvilke konkrete oplysninger der var tale om. 1

Oplysninger om sundhedspersonale og ansatte

Ifølge Novocure omfattede de eksponerede data også:

• Generelle kontaktoplysninger på sundhedspersonale, der samarbejder med virksomheden.
• Kontaktoplysninger om ansatte, herunder stillingsbetegnelser og telefonnumre. 1

Selskabets indberetning oplyser ikke, hvor mange sundhedspersoner eller ansatte der er berørt. 1

Hvad blev ikke kompromitteret?

Novocure oplyser, at den uvedkommende part ikke fik adgang til virksomhedens medicinske behandlingsudstyr. Selskabet siger desuden, at hændelsen ikke påvirkede evnen til at drive virksomheden, og at systemerne var fuldt funktionsdygtige. 1

Det er en væsentlig skelnen for en virksomhed i sundhedssektoren: Den beskrevne hændelse handler om informationssikkerhed og eksponering af data – ikke om et rapporteret angreb på behandlingsudstyr eller et driftsstop.

Sådan reagerede Novocure

Efter opdagelsen aktiverede Novocure sin beredskabsplan for cybersikkerhed, iværksatte inddæmningstiltag og startede en intern undersøgelse. Virksomheden hyrede også uafhængige it-sikkerhedseksperter til digital efterforskning og gennemgang af de data, der var blevet tilgået. 1

Novocure vurderede samtidig sine forpligtelser til at underrette berørte parter og oplyste, at nødvendige underretninger – herunder til berørte patienter – ville blive sendt. 1

Ingen forventet væsentlig økonomisk effekt – foreløbig

I sin indberetning den 1. september 2026 skrev Novocure, at selskabet på det tidspunkt ikke forventede, at hændelsen havde eller med rimelighed kunne forventes at få en væsentlig effekt på den finansielle stilling eller driftsresultaterne. Undersøgelsen var dog fortsat i gang, så vurderingen byggede på de oplysninger, der forelå ved offentliggørelsen. 1

Del af en bredere bølge af angreb mod sundhedsvirksomheder

Novocures hændelse kommer efter en række cyberangreb mod virksomheder i sundheds- og medicoteknikbranchen i 2026, men konsekvenserne har været meget forskellige.

• Abbott oplyste, at to separate hændelser i interne systemer ikke påvirkede driften.
• Medtronic sagde, at et angreb mod virksomhedens it-netværk ikke påvirkede produkter, patientbehov, produktion eller distribution og ikke forventedes at få væsentlig effekt på forretningen eller økonomien.
• West Pharmaceutical Services oplyste, at driften var genoprettet efter et angreb, og at selskabet ikke ventede en væsentlig påvirkning af forventningerne for 2026.
• Stryker rapporterede derimod betydelige forstyrrelser i ordrebehandling, produktion og leverancer. Reuters skrev også, at nogle patientindgreb blev udsat.
• Boston Scientific rapporterede forstyrrelser i den globale drift, herunder systemer til behandling og afsendelse af kundeordrer. 18
• Novo Nordisk oplyste, at uvedkommende havde kopieret visse oplysninger fra interne it-systemer, herunder patientdata fra nogle kliniske forsøg.

Hovedpointen i Novocures indberetning er derfor afgrænset: Patientrelaterede data og kontaktoplysninger blev eksponeret – herunder interne patient-ID-numre for over 1.400 personer og yderligere identificerende data for under 50 patienter. Men ifølge virksomheden var der hverken adgang til behandlingsudstyr eller driftsforstyrrelser på tidspunktet for indberetningen. 1