Attacco informatico a Novocure: esposti dati di oltre 1.400 pazienti negli USA, ma dispositivi non coinvolti

Novocure ha reso noto che una sua controllata ha rilevato, a metà agosto 2026, un accesso non autorizzato ad alcuni sistemi informativi aziendali. Dall’indagine sono emersi dati esposti relativi a pazienti, professionisti sanitari e dipendenti. L’azienda ha però precisato che i suoi dispositivi medici per il trattamento non sono stati raggiunti, l’operatività non è stata compromessa e tutti i sistemi risultavano pienamente funzionanti. 1

Quali dati dei pazienti sono stati esposti?

Il gruppo più numeroso riguarda oltre 1.400 cartelle di pazienti negli Stati Uniti. Per queste cartelle sono stati consultati soltanto i numeri ID interni di Novocure: l’azienda afferma che tali codici sono usati esclusivamente al proprio interno e che non sono stati esposti nomi né altri dati identificativi dei pazienti interessati. 1

Un secondo gruppo, più ristretto, comprende meno di 50 pazienti dell’ovest degli Stati Uniti. In questo caso, i dati consultati includevano ulteriori informazioni identificative. Nel deposito presso la SEC, l’autorità statunitense di vigilanza sui mercati, Novocure non ha indicato quali fossero nello specifico tali identificativi. 1

Dati di medici e dipendenti

Tra le informazioni esposte figurano anche:

• dati di contatto generali dei professionisti sanitari che collaborano con Novocure;
• dati di contatto dei dipendenti, compresi qualifica professionale e numero di telefono. 1

La società non ha comunicato il numero di operatori sanitari o dipendenti coinvolti. 1

Cosa non è stato compromesso

Secondo Novocure, l’autore dell’accesso non autorizzato non ha raggiunto i dispositivi medici utilizzati per i trattamenti. La società ha inoltre dichiarato che la capacità di operare non è stata compromessa e che i sistemi erano tutti funzionanti. 1

È una distinzione importante per un’azienda attiva nella sanità: quanto comunicato descrive un incidente di sicurezza informatica con esposizione di dati, non una compromissione segnalata dei dispositivi terapeutici né un’interruzione dell’attività.

La risposta dell’azienda

Dopo aver individuato l’incidente, Novocure ha attivato il proprio piano di risposta alla cybersicurezza, adottato misure di contenimento e avviato un’indagine interna. Ha inoltre incaricato specialisti indipendenti di informatica forense di supportare l’indagine e verificare i dati ai quali è stato effettuato l’accesso. 1

L’azienda ha detto di stare valutando gli obblighi di notifica e di voler effettuare le comunicazioni richieste, anche ai pazienti coinvolti. 1

Possibile impatto finanziario

Nel documento depositato il 1° settembre 2026, Novocure ha dichiarato di non ritenere che l’incidente abbia avuto, o sia ragionevolmente probabile che abbia, un effetto rilevante sulla propria situazione finanziaria o sui risultati operativi. L’indagine era ancora in corso: la valutazione rifletteva quindi le informazioni disponibili al momento della comunicazione. 1

Il contesto: gli altri incidenti nel settore sanitario nel 2026

La comunicazione di Novocure si inserisce in una serie di cyberattacchi che hanno colpito aziende sanitarie e di tecnologie mediche nel 2026, con conseguenze molto diverse tra loro.

• Abbott ha riferito che due incidenti distinti, relativi a sistemi interni, non hanno avuto effetti sulle sue operazioni.
• Medtronic ha dichiarato che un attacco alla rete IT aziendale non ha interessato prodotti, esigenze dei pazienti, produzione o distribuzione e non era atteso un impatto significativo sull’attività o sui risultati finanziari.
• West Pharmaceutical Services ha comunicato di aver ripristinato le operazioni dopo un attacco e di non prevedere conseguenze rilevanti sulle prospettive finanziarie per il 2026.
• Stryker ha segnalato gravi problemi nell’elaborazione degli ordini, nella produzione e nelle consegne ai clienti; Reuters ha inoltre riportato il rinvio di alcune procedure per pazienti.
• Boston Scientific ha riportato disservizi nelle operazioni globali, inclusi sistemi usati per elaborare e spedire gli ordini dei clienti. 18
• Novo Nordisk ha riferito che soggetti non autorizzati avevano copiato informazioni da sistemi IT interni, compresi dati di pazienti coinvolti in alcuni studi clinici.

Il punto centrale della comunicazione di Novocure è dunque circoscritto: sono stati esposti dati relativi a pazienti e contatti, inclusi gli ID interni di oltre 1.400 pazienti e ulteriori dati identificativi per meno di 50 persone, ma alla data del deposito l’azienda non segnalava accessi ai dispositivi né interruzioni operative. 1