Cyberattaque chez Novocure : quelles données ont été exposées ?

Novocure a déclaré qu’une de ses filiales avait détecté, à la mi-août 2026, un accès non autorisé à certains systèmes d’information du groupe. L’enquête menée jusqu’ici a identifié l’exposition de données limitées concernant des patients, des professionnels de santé et des salariés. L’entreprise affirme toutefois que ses dispositifs de traitement médical n’ont pas été accessibles, que ses activités n’ont pas été compromises et que ses systèmes restaient pleinement fonctionnels. 1

Quelles données de patients ont été exposées ?

Le groupe le plus important concerne plus de 1 400 dossiers de patients aux États-Unis. Les informations consultées se limitaient aux numéros d’identification internes de Novocure. L’entreprise précise que ces numéros sont réservés à son usage interne et qu’aucun nom de patient ni autre donnée permettant de les identifier n’a été exposé pour ce groupe. 1

Un second groupe, plus restreint, concerne moins de 50 patients dans l’ouest des États-Unis. Dans leur cas, les données consultées comprenaient des informations d’identification supplémentaires. Novocure n’a pas détaillé la nature exacte de ces informations dans son dépôt réglementaire. 1

Données de professionnels de santé et de salariés

Les données exposées comprenaient également :

• des coordonnées générales de professionnels de santé travaillant avec Novocure ;
• des informations de contact de salariés, dont leurs intitulés de poste et leurs numéros de téléphone. 1

Le document ne précise pas combien de professionnels de santé ou de salariés sont concernés. 1

Ce qui n’a pas été compromis

Novocure assure que l’auteur de l’intrusion n’a pas accédé à ses dispositifs médicaux de traitement. La société indique aussi que sa capacité à exercer ses activités n’a pas été affectée et que tous ses systèmes demeuraient opérationnels. 1

La nuance est importante dans le secteur de la santé : il s’agit, selon la déclaration de l’entreprise, d’un incident de sécurité informatique ayant entraîné une exposition de données, et non d’une compromission déclarée des dispositifs de traitement ni d’une panne opérationnelle signalée.

Réponse de Novocure

Après avoir détecté l’incident, Novocure a activé son plan de réponse en cybersécurité, appliqué des mesures de confinement et lancé une enquête interne. L’entreprise a également mandaté des spécialistes indépendants de l’investigation numérique afin de l’aider à examiner l’incident et les données auxquelles il a été accédé. 1

Elle a indiqué évaluer ses obligations de notification et prévoir d’adresser les notifications requises, y compris aux patients concernés. 1

Un impact financier attendu ?

Dans son dépôt du 1er septembre 2026 auprès de la SEC, le régulateur boursier américain, Novocure estimait que l’incident n’avait pas eu — et n’était pas raisonnablement susceptible d’avoir — d’effet significatif sur sa situation financière ou ses résultats d’exploitation. Cette appréciation reposait sur les informations alors disponibles, l’enquête étant toujours en cours. 1

Dans une série d’incidents visant le secteur de la santé

La déclaration de Novocure intervient dans un contexte de cyberincidents touchant plusieurs groupes de santé et de technologies médicales en 2026. Leurs conséquences ont toutefois été très différentes.

• Abbott a indiqué que deux incidents distincts touchant des systèmes internes n’avaient pas affecté ses opérations.
• Medtronic a déclaré qu’une attaque contre son réseau informatique d’entreprise n’avait eu d’incidence ni sur ses produits, ni sur les besoins des patients, ni sur sa production ou sa distribution ; aucun effet financier significatif n’était attendu.
• West Pharmaceutical Services a affirmé avoir rétabli ses activités après une attaque et ne pas prévoir d’impact significatif sur ses perspectives financières pour 2026.
• Stryker a fait état de perturbations importantes dans le traitement des commandes, la production et les livraisons aux clients ; Reuters a aussi rapporté le report de certaines interventions de patients.
• Boston Scientific a signalé des perturbations de ses activités mondiales, notamment des systèmes servant à traiter et expédier les commandes des clients. 18
• Novo Nordisk a indiqué que des acteurs non autorisés avaient copié certaines données de systèmes informatiques internes, y compris des données de patients issues de certains essais cliniques.

Le point essentiel dans le cas de Novocure est donc précis : des données liées à des patients et des coordonnées ont été exposées, dont plus de 1 400 identifiants internes de patients et des données d’identification supplémentaires pour moins de 50 personnes. Mais, au moment de son dépôt, l’entreprise ne signalait ni accès à ses dispositifs médicaux ni perturbation de ses activités. 1