Novocureへのサイバー攻撃、米国患者1,400人超の内部IDが閲覧対象に

Novocureは2026年8月中旬、子会社を通じて一部の情報システムへの不正アクセスを把握したと発表しました。調査時点で、患者、同社と連携する医療従事者、従業員に関する限定的な情報が閲覧対象になった一方、治療用医療機器にはアクセスされず、事業運営にも支障はなく、全システムは正常に機能していたとしています。1

患者情報は何が対象だったのか

最も多かったのは、米国の患者記録1,400件超です。閲覧対象となったのはNovocureの社内用患者ID番号に限られ、同社はこの番号を社内用途にのみ使っていると説明しています。このグループについては、患者名やその他の個人を特定できる情報は露出していないとしています。1

これとは別に、米国西部の患者50人未満では、追加の識別情報を含むデータが閲覧対象になりました。ただし、米証券取引委員会（SEC）への提出書類では、具体的にどの識別情報だったかは示されていません。1

医療従事者と従業員について対象となった情報

同社によると、閲覧対象になった情報には以下も含まれます。

• Novocureと連携する医療従事者の一般的な連絡先情報
• 従業員の連絡先情報（役職、電話番号を含む）1

影響を受けた医療従事者・従業員の人数は公表されていません。1

影響がなかったもの：治療機器と業務運営

Novocureは、不正アクセスを行った者は同社の治療用医療機器にはアクセスしていないと説明しています。また、操業能力は損なわれず、すべてのシステムは機能していたとしています。1

医療分野のサイバー事案では、この違いは重要です。今回の開示は、情報セキュリティとデータ露出に関する事案であり、治療用機器の侵害や業務停止が報告されたものではありません。

Novocureの対応

同社は事案を検知後、サイバーセキュリティ対応計画を発動し、封じ込め措置を実施したうえで社内調査を開始しました。さらに、独立したサイバーセキュリティ・フォレンジックの専門家を起用し、事案の調査と閲覧対象となったデータの精査を進めています。1

通知義務も評価中であり、影響を受けた患者への連絡を含め、必要に応じて通知を行うとしています。1

財務への重大な影響は見込むのか

2026年9月1日付のSEC提出書類時点で、Novocureは、この事案が財政状態または経営成績に重大な影響を及ぼした、あるいは及ぼす合理的な可能性があるとは考えていないとしました。ただし、調査は継続中であり、この判断は開示時点で得られていた情報に基づくものです。1

2026年に相次ぐ医療業界のサイバー事案との比較

Novocureの開示は、ヘルスケア企業や医療技術企業に影響が広がった2026年の一連のサイバー事案の中で行われました。ただし、事案ごとの影響は大きく異なります。

• Abbottは、社内システムに関する別々の2件の事案について、業務への影響はなかったとしました。
• Medtronicは、企業ITネットワークへの攻撃について、製品、患者対応、製造、流通への影響はなく、事業や財務結果への重大な影響も見込まないと説明しました。
• West Pharmaceutical Servicesは、攻撃後に業務を復旧し、2026年の財務見通しに重大な影響はないとしました。
• Strykerでは、受注処理、製造、顧客への配送に大きな混乱が生じ、ロイターは一部患者の処置が延期されたと報じました。
• Boston Scientificは、顧客注文の処理・出荷に使うシステムを含む世界的な業務への支障を報告しました。18
• Novo Nordiskは、臨床試験の一部の患者データを含む特定の情報が、社内ITシステムから無断で外部にコピーされたと明らかにしました。

Novocureの事案で押さえるべき点は明確です。患者関連情報や連絡先情報が閲覧対象となり、米国患者1,400人超の社内用患者ID番号と、50人未満の患者の追加識別情報が含まれていました。一方で同社は、開示時点で治療用医療機器へのアクセスや業務上の混乱はなかったと報告しています。1