Novocuren kyberhyökkäys paljasti yli 1 400 potilastietuetta

Novocure ilmoitti, että sen tytäryhtiö havaitsi elokuun puolivälissä 2026 luvattoman pääsyn osaan yhtiön tietojärjestelmistä. Tutkinnassa on selvinnyt, että saataville päätyi rajatusti potilas-, terveydenhuollon ammattilais- ja työntekijätietoja. Yhtiön mukaan sen lääketieteellisiin hoitolaitteisiin ei kuitenkaan päästy käsiksi, toimintakyky ei vaarantunut ja kaikki järjestelmät olivat toiminnassa. 1

Mitä potilastietoja paljastui?

Suurin vaikutus koski yli 1 400 yhdysvaltalaisen potilaan tietuetta. Niistä saataville päätyneet tiedot rajoittuivat Novocuren sisäisiin potilastunnistenumeroihin. Yhtiön mukaan tunnisteita käytetään vain sen omissa järjestelmissä, eikä tämän ryhmän potilaiden nimiä tai muita tunnistetietoja paljastunut. 1

Lisäksi alle 50:n Länsi-Yhdysvalloissa olevan potilaan tiedoissa oli muitakin tunnistetietoja. Novocure ei täsmentänyt viranomaisilmoituksessaan, mitä tunnistetietoja nämä olivat. 1

Mitä tietoja terveydenhuollon ammattilaisista ja työntekijöistä paljastui?

Saataville päätyneisiin tietoihin kuului yhtiön mukaan myös:

• Novocuren kanssa työskentelevien terveydenhuollon ammattilaisten yleisiä yhteystietoja
• työntekijöiden yhteystietoja, kuten tehtävänimikkeitä ja puhelinnumeroita. 1

Ilmoituksessa ei kerrottu, kuinka monta terveydenhuollon ammattilaista tai työntekijää tapaus koski. 1

Mitä ei vaarantunut?

Novocuren mukaan luvattoman pääsyn saanut taho ei päässyt käsiksi yhtiön lääketieteellisiin hoitolaitteisiin. Yhtiö ilmoitti myös, ettei tapaus vaarantanut sen toimintakykyä ja että kaikki järjestelmät olivat täysin toimintakunnossa. 1

Ero on terveydenhuollossa olennainen: kyse oli ilmoituksen perusteella tietoturva- ja tietojen paljastumistapauksesta, ei raportoidusta hoitolaitteiden vaarantumisesta tai toiminnan keskeytymisestä.

Näin Novocure reagoi

Havaittuaan poikkeaman Novocure otti käyttöön kyberturvallisuuden toimintasuunnitelmansa, toteutti rajaamistoimia ja käynnisti sisäisen tutkinnan. Se palkkasi lisäksi riippumattomia kyberturvallisuuden forensisia asiantuntijoita selvittämään tapausta ja tarkastamaan, mihin tietoihin oli päästy käsiksi. 1

Yhtiö kertoi arvioivansa ilmoitusvelvollisuuksiaan ja tekevänsä vaaditut ilmoitukset, myös potilaille, joita tapaus koskee. 1

Odottaako yhtiö taloudellisia vaikutuksia?

Novocure arvioi 1.9.2026 tekemässään Yhdysvaltain arvopaperi- ja pörssikomissiolle SEC:lle toimitetussa ilmoituksessa, ettei tapauksella ollut eikä sen kohtuudella odotettu olevan olennaista vaikutusta yhtiön taloudelliseen asemaan tai liiketoiminnan tulokseen. Tutkinta oli silti yhä kesken, joten arvio perustui tuolloin käytettävissä olleisiin tietoihin. 1

Miten tapaus vertautuu muihin terveysalan kyberhyökkäyksiin vuonna 2026?

Novocuren ilmoitus tuli aikana, jolloin terveydenhuolto- ja lääkintäteknologiayhtiöihin on kohdistunut useita kyberhyökkäyksiä. Vaikutukset ovat kuitenkin vaihdelleet paljon.

• Abbott ilmoitti, etteivät kahteen erilliseen sisäisiä järjestelmiä koskeneeseen tapaukseen liittyneet häiriöt vaikuttaneet sen toimintaan.
• Medtronic kertoi, ettei sen yrityksen IT-verkkoon kohdistunut hyökkäys vaikuttanut tuotteisiin, potilaiden tarpeiden täyttämiseen, valmistukseen tai jakeluun. Yhtiö ei odottanut olennaista vaikutusta liiketoimintaansa tai tulokseensa.
• West Pharmaceutical Services ilmoitti palauttaneensa toimintansa hyökkäyksen jälkeen eikä odottanut olennaista vaikutusta vuoden 2026 talousnäkymiinsä.
• Stryker raportoi merkittävistä häiriöistä tilausten käsittelyyn, tuotantoon ja asiakastoimituksiin. Reutersin mukaan joidenkin potilaiden toimenpiteitä myös siirrettiin.
• Boston Scientific kertoi maailmanlaajuisista toimintahäiriöistä, jotka koskivat muun muassa asiakastilausten käsittely- ja toimitusjärjestelmiä. 18
• Novo Nordisk ilmoitti luvattomien toimijoiden kopioineen sisäisistä IT-järjestelmistä tietoja, myös joidenkin kliinisten tutkimusten potilastietoja.

Novocuren tapauksen ydinasia on siis täsmällinen: potilaisiin liittyviä tietoja ja yhteystietoja paljastui, mukaan lukien yli 1 400 sisäistä potilastunnistetta sekä alle 50 potilaan tarkemmin määrittelemättömiä tunnistetietoja. Yhtiö ei kuitenkaan ilmoitushetkellä raportoinut pääsyä hoitolaitteisiin eikä toimintahäiriöitä. 1