Novocure-angrep: Over 1 400 pasientoppføringer eksponert

Novocure opplyste at et datterselskap i midten av august 2026 ble kjent med uautorisert tilgang til enkelte av selskapets informasjonssystemer. I undersøkelsen fant selskapet at begrensede pasientopplysninger, opplysninger om helsepersonell og ansattopplysninger var eksponert. Novocure sier samtidig at medisinsk behandlingsutstyr ikke ble åpnet, at driften ikke ble kompromittert, og at alle systemer fungerte fullt ut. 1

Hva ble eksponert om pasientene?

Den største gruppen gjelder over 1 400 pasientoppføringer i USA. For disse oppføringene var de eksponerte dataene begrenset til Novocures interne pasient-ID-numre. Selskapet opplyser at numrene bare brukes internt, og at ingen pasientnavn eller andre identifiserende opplysninger ble eksponert for denne gruppen. 1

En mindre gruppe på færre enn 50 pasienter i det vestlige USA fikk også ytterligere identifiserende opplysninger eksponert. Novocure oppga ikke hvilke konkrete identifikatorer det gjaldt i innsendelsen til amerikanske SEC, finanstilsynet for verdipapirmarkedet. 1

Opplysninger om helsepersonell og ansatte

Ifølge selskapet omfattet de eksponerte dataene også:

• Generelle kontaktopplysninger for helsepersonell som samarbeider med Novocure.
• Ansattopplysninger, blant annet stillingstitler og telefonnumre. 1

Novocure oppga ikke hvor mange helsepersonell eller ansatte som var berørt. 1

Hva ble ikke rammet?

Den uautoriserte parten fikk ifølge Novocure ikke tilgang til selskapets medisinske behandlingsutstyr. Selskapet sa også at evnen til å drive virksomheten ikke var kompromittert, og at systemene var fullt funksjonelle. 1

Skillet er vesentlig i helsesektoren: Dette ble rapportert som en hendelse med eksponering av informasjon og data, ikke som et bekreftet angrep på behandlingsutstyr eller som et driftsavbrudd.

Slik svarte Novocure

Etter å ha oppdaget hendelsen aktiverte Novocure sin beredskapsplan for cybersikkerhet, gjennomførte tiltak for å begrense hendelsen og startet en intern granskning. Selskapet hentet også inn uavhengige eksperter på digital etterforskning for å bistå med undersøkelsen og gjennomgå dataene som var åpnet. 1

Novocure sa at det vurderte pliktene sine til å varsle og ville gi nødvendige varsler, også til berørte pasienter. 1

Forventet selskapet økonomiske konsekvenser?

I innsendelsen datert 1. september 2026 opplyste Novocure at det ikke mente hendelsen hadde, eller med rimelighet kunne ventes å få, en vesentlig effekt på selskapets finansielle stilling eller driftsresultater. Etterforskningen pågikk fortsatt, så vurderingen bygget på informasjonen som var tilgjengelig på det tidspunktet. 1

Del av en større bølge av angrep mot helsesektoren

Novocures melding kom i en periode med flere dataangrep mot helse- og medisinteknologiselskaper i 2026. Konsekvensene har imidlertid vært svært ulike:

• Abbott opplyste at to separate hendelser i interne systemer ikke påvirket driften.
• Medtronic sa at et angrep mot selskapets IT-nettverk ikke påvirket produkter, pasientbehov, produksjon eller distribusjon, og at det ikke var ventet å få vesentlig effekt på virksomheten eller resultatene.
• West Pharmaceutical Services opplyste at driften var gjenopprettet etter et angrep, og at selskapet ikke ventet noen vesentlig effekt på utsiktene for 2026.
• Stryker rapporterte betydelige forstyrrelser i ordrebehandling, produksjon og leveranser. Reuters rapporterte også at enkelte pasientinngrep ble utsatt.
• Boston Scientific rapporterte forstyrrelser i global drift, blant annet i systemer for behandling og utsending av kundeordre. 18
• Novo Nordisk opplyste at uvedkommende hadde kopiert enkelte opplysninger fra interne IT-systemer, inkludert pasientdata fra noen kliniske studier.

Hovedpoenget i Novocures rapport er dermed avgrenset: Pasientrelaterte data og kontaktopplysninger ble eksponert, blant annet over 1 400 interne pasient-ID-er og ytterligere identifiserende opplysninger for færre enn 50 pasienter. Men Novocure rapporterte ingen tilgang til behandlingsutstyr eller driftsforstyrrelser da selskapet leverte meldingen. 1