Ciberataque a Novocure: expuso datos de más de 1.400 pacientes, pero no afectó sus dispositivos médicos

Novocure informó de que una filial detectó, a mediados de agosto de 2026, un acceso no autorizado a algunos de sus sistemas de información. La investigación determinó que se expusieron datos limitados de pacientes, profesionales sanitarios y empleados. Sin embargo, la empresa afirmó que sus dispositivos de tratamiento médico no fueron accedidos, que su capacidad operativa no se vio comprometida y que todos los sistemas seguían plenamente funcionales. 1

¿Qué datos de pacientes quedaron expuestos?

El grupo más numeroso afectado corresponde a más de 1.400 registros de pacientes de Estados Unidos. La información a la que se accedió se limitó a números internos de identificación de pacientes de Novocure. La compañía señaló que estos códigos se usan exclusivamente dentro de la empresa y que, para este grupo, no se expusieron nombres ni otros datos identificativos. 1

Hubo además un grupo menor de menos de 50 pacientes del oeste de Estados Unidos. En esos casos, la información accedida incluía datos identificativos adicionales. Novocure no detalló cuáles fueron esos identificadores en su presentación regulatoria. 1

Datos de profesionales y empleados

Según Novocure, la información expuesta también incluyó:

• Datos generales de contacto de profesionales sanitarios que trabajan con la compañía.
• Información de contacto de empleados, incluidos sus cargos y números de teléfono. 1

La empresa no indicó cuántos profesionales o empleados resultaron afectados. 1

Lo que no fue comprometido

Novocure aseguró que la parte no autorizada no obtuvo acceso a sus dispositivos de tratamiento médico. También indicó que el incidente no comprometió su capacidad para operar y que todos sus sistemas se mantenían funcionales. 1

La diferencia es relevante en una empresa del sector sanitario: lo comunicado describe un incidente de seguridad y exposición de datos, no una intrusión en dispositivos de tratamiento ni una interrupción operativa reportada.

La respuesta de Novocure

Tras detectar el incidente, la empresa activó su plan de respuesta ante ciberseguridad, aplicó medidas de contención e inició una investigación interna. Asimismo, contrató a especialistas independientes en análisis forense de ciberseguridad para ayudar en la investigación y revisar los datos a los que se había accedido. 1

Novocure indicó que evaluaba sus obligaciones de notificación y que realizaría los avisos exigidos, incluidos los destinados a los pacientes afectados. 1

¿Prevé un impacto financiero relevante?

En su presentación del 1 de septiembre de 2026 ante la Comisión de Bolsa y Valores de Estados Unidos (SEC, por sus siglas en inglés), Novocure dijo que no creía que el incidente hubiera tenido, ni que fuera razonablemente probable que tuviera, un efecto material sobre su situación financiera o sus resultados operativos. La investigación continuaba abierta, por lo que esa valoración se basaba en la información disponible en el momento de la comunicación. 1

Un contexto de ciberataques en el sector sanitario

El caso de Novocure se produjo en medio de una serie de incidentes que afectaron en 2026 a compañías sanitarias y de tecnología médica, aunque sus consecuencias fueron muy distintas.

• Abbott indicó que dos incidentes separados en sistemas internos no afectaron a sus operaciones.
• Medtronic afirmó que un ataque contra su red corporativa de TI no afectó a sus productos, la atención a pacientes, la fabricación ni la distribución, y que no esperaba un impacto material en su negocio o resultados financieros.
• West Pharmaceutical Services informó de que restableció sus operaciones tras un ataque y no esperaba un efecto material en sus previsiones financieras para 2026.
• Stryker reportó una alteración significativa en el procesamiento de pedidos, la fabricación y las entregas a clientes; Reuters informó también de que algunos procedimientos de pacientes fueron aplazados.
• Boston Scientific comunicó interrupciones en sus operaciones globales, incluidos sistemas utilizados para procesar y enviar pedidos de clientes. 18
• Novo Nordisk dijo que actores no autorizados copiaron cierta información de sus sistemas internos de TI, incluidos datos de pacientes de algunos ensayos clínicos.

La conclusión específica del informe de Novocure es que se expusieron datos vinculados a pacientes y datos de contacto: más de 1.400 identificadores internos de pacientes y datos identificativos adicionales de menos de 50 personas. Pero, según la empresa, no hubo acceso a dispositivos médicos ni una interrupción de las operaciones en el momento de su presentación. 1