Cyberaanval Novocure: gegevens van ruim 1.400 Amerikaanse patiënten blootgelegd

Novocure heeft gemeld dat een dochteronderneming medio augustus 2026 ongeautoriseerde toegang tot enkele informatiesystemen ontdekte. Uit het lopende onderzoek blijkt dat beperkte gegevens van patiënten, zorgverleners en werknemers zijn blootgelegd. Volgens het oncologiebedrijf zijn medische behandelapparaten niet benaderd, is de bedrijfsvoering niet aangetast en bleven alle systemen volledig functioneel. 1

Welke patiëntgegevens waren betrokken?

De grootste groep bestaat uit ruim 1.400 patiëntendossiers in de Verenigde Staten. Daarbij ging het uitsluitend om interne patiënt-ID-nummers van Novocure. Het bedrijf stelt dat deze nummers alleen intern worden gebruikt en dat bij deze groep geen patiëntnamen of andere identificerende gegevens zijn blootgelegd. 1

Daarnaast was er een kleinere groep van minder dan 50 patiënten in het westen van de VS. Bij hen betroffen de geraadpleegde gegevens ook aanvullende identificerende informatie. Welke specifieke persoonsgegevens dat waren, heeft Novocure niet vermeld in zijn melding bij de Amerikaanse beurswaakhond SEC. 1

Ook gegevens van zorgverleners en werknemers

Volgens Novocure omvatten de blootgelegde gegevens verder:

• algemene contactgegevens van zorgverleners die met Novocure samenwerken;
• contactgegevens van werknemers, waaronder functietitels en telefoonnummers. 1

Het bedrijf heeft niet aangegeven hoeveel zorgverleners of werknemers zijn geraakt. 1

Wat bleef volgens Novocure buiten schot?

De onbevoegde partij kreeg volgens Novocure geen toegang tot de medische behandelapparaten van het bedrijf. Ook stelt Novocure dat zijn operationele capaciteit niet is gecompromitteerd en dat alle systemen bleven werken. 1

Dat onderscheid is relevant bij een bedrijf in de zorgtechnologie: de melding gaat over blootstelling van informatie, niet over een gemelde inbreuk op behandelapparatuur of een storing die de bedrijfsvoering stillegde.

Maatregelen na ontdekking

Novocure activeerde na de ontdekking zijn cyberresponsplan, voerde maatregelen in om het incident in te dammen en startte een intern onderzoek. Het schakelde ook onafhankelijke forensische cybersecurityspecialisten in om het voorval te onderzoeken en de geraadpleegde gegevens te beoordelen. 1

Het bedrijf beoordeelde zijn meldplichten en zei betrokkenen, onder wie getroffen patiënten, te zullen informeren waar dat verplicht is. 1

Vooralsnog geen verwacht materieel financieel effect

In de melding van 1 september 2026 stelde Novocure niet te verwachten dat het incident een materieel effect heeft gehad, of redelijkerwijs waarschijnlijk zal hebben, op de financiële positie of bedrijfsresultaten. Het onderzoek liep toen nog, waardoor die inschatting is gebaseerd op de informatie die op dat moment beschikbaar was. 1

Onderdeel van bredere reeks incidenten in de zorgsector

De melding van Novocure kwam in een periode met meer cyberincidenten bij zorg- en medische-technologiebedrijven. De gevolgen liepen daarbij sterk uiteen.

• Abbott meldde dat twee afzonderlijke incidenten met interne systemen geen gevolgen hadden voor de activiteiten.
• Medtronic zei dat een aanval op het zakelijke IT-netwerk geen gevolgen had voor producten, patiëntenzorg, productie of distributie en naar verwachting geen materiële impact op de onderneming of financiële resultaten zou hebben.
• West Pharmaceutical Services meldde de activiteiten te hebben hersteld en geen materieel effect op de financiële vooruitzichten voor 2026 te verwachten.
• Stryker rapporteerde aanzienlijke verstoringen in orderverwerking, productie en klantleveringen; Reuters meldde ook dat sommige patiëntprocedures werden uitgesteld.
• Boston Scientific meldde verstoringen van de wereldwijde activiteiten, waaronder systemen voor het verwerken en verzenden van klantorders. 18
• Novo Nordisk zei dat onbevoegden bepaalde informatie uit interne IT-systemen hadden gekopieerd, waaronder patiëntgegevens uit enkele klinische onderzoeken.

De kern van Novocures melding is dus afgebakend: patiëntgerelateerde gegevens en contactinformatie zijn blootgesteld, waaronder interne patiënt-ID's van ruim 1.400 personen en aanvullende identificerende gegevens van minder dan 50 patiënten. Maar Novocure meldde op het moment van de indiening geen toegang tot medische apparaten en geen verstoring van de bedrijfsvoering. 1