Cyberatak na Novocure: co ujawniono, a co pozostało bezpieczne

Novocure poinformowało, że w połowie sierpnia 2026 r. jedna z jego spółek zależnych wykryła nieuprawniony dostęp do części systemów informacyjnych firmy. Dotychczasowe ustalenia wskazują na ekspozycję ograniczonych danych pacjentów, przedstawicieli zawodów medycznych i pracowników. Spółka zaznaczyła zarazem, że napastnicy nie uzyskali dostępu do urządzeń terapeutycznych, działalność firmy nie została zakłócona, a systemy pozostały w pełni sprawne. 1

Jakie dane pacjentów ujawniono?

Największa grupa obejmuje ponad 1 400 rekordów pacjentów z USA. W przypadku tych rekordów uzyskano dostęp wyłącznie do wewnętrznych numerów identyfikacyjnych pacjentów Novocure. Firma podkreśliła, że numery te służą wyłącznie do użytku wewnętrznego oraz że w tej grupie nie ujawniono nazwisk ani innych danych pozwalających zidentyfikować pacjentów. 1

Osobna, mniejsza grupa dotyczyła mniej niż 50 pacjentów z zachodniej części Stanów Zjednoczonych. W ich przypadku dane, do których uzyskano dostęp, zawierały dodatkowe informacje identyfikujące. Novocure nie sprecyzowało w zgłoszeniu, o jakie konkretnie identyfikatory chodziło. 1

Dane pracowników medycznych i zatrudnionych

Według firmy wśród danych objętych incydentem znalazły się również:

• ogólne dane kontaktowe pracowników ochrony zdrowia współpracujących z Novocure;
• dane kontaktowe pracowników firmy, w tym ich stanowiska i numery telefonów. 1

W zgłoszeniu nie podano liczby pracowników medycznych ani zatrudnionych, których dotyczyło zdarzenie. 1

Czego nie naruszono?

Novocure oświadczyło, że nieuprawniona strona nie uzyskała dostępu do urządzeń stosowanych w terapii medycznej. Firma przekazała też, że incydent nie naruszył jej zdolności operacyjnej, a wszystkie systemy działały prawidłowo. 1

To istotne rozróżnienie w sektorze ochrony zdrowia: opisywane zdarzenie dotyczyło bezpieczeństwa informacji i ekspozycji danych, a nie zgłoszonego przejęcia urządzeń terapeutycznych czy awarii operacyjnej.

Jak zareagowała firma?

Po wykryciu incydentu Novocure uruchomiło plan reagowania na zagrożenia cybernetyczne, wdrożyło działania ograniczające skutki zdarzenia i rozpoczęło wewnętrzne postępowanie wyjaśniające. Zaangażowano także niezależnych specjalistów od informatyki śledczej w cyberbezpieczeństwie, którzy mają pomóc w dochodzeniu i analizie danych, do których uzyskano dostęp. 1

Spółka podała, że ocenia obowiązki dotyczące zawiadomień i dokona wymaganych zgłoszeń, w tym wobec poszkodowanych pacjentów. 1

Czy firma przewiduje wpływ na wyniki finansowe?

Według stanu na zgłoszenie z 1 września 2026 r. Novocure nie uważało, aby incydent miał lub mógł z rozsądnym prawdopodobieństwem mieć istotny wpływ na sytuację finansową albo wyniki działalności. Dochodzenie nadal trwało, dlatego ocena opierała się na informacjach dostępnych w momencie ujawnienia zdarzenia. 1

Na tle innych cyberincydentów w ochronie zdrowia w 2026 r.

Zdarzenie w Novocure wpisuje się w serię cyberataków wymierzonych w firmy medyczne i technologii medycznych, jednak ich skutki wyraźnie się różniły.

• Abbott podał, że dwa odrębne incydenty dotyczące wewnętrznych systemów nie wpłynęły na działalność operacyjną.
• Medtronic przekazał, że atak na korporacyjną sieć IT nie dotknął produktów, obsługi potrzeb pacjentów, produkcji ani dystrybucji i nie powinien istotnie wpłynąć na biznes ani wyniki finansowe.
• West Pharmaceutical Services poinformował o przywróceniu działalności po ataku i o braku oczekiwanego istotnego wpływu na prognozę finansową na 2026 r.
• Stryker zgłosił znaczne zakłócenia w obsłudze zamówień, produkcji i dostawach do klientów; Reuters podał również, że część procedur medycznych pacjentów została przełożona.
• Boston Scientific poinformował o zakłóceniach globalnej działalności, w tym systemów używanych do przetwarzania i wysyłki zamówień klientów. 18
• Novo Nordisk podał, że nieuprawnione osoby skopiowały część informacji z wewnętrznych systemów IT, w tym dane pacjentów z części badań klinicznych.

Najważniejszy wniosek z komunikatu Novocure jest więc konkretny: ujawniono dane dotyczące pacjentów i dane kontaktowe — w tym ponad 1 400 wewnętrznych identyfikatorów pacjentów oraz dodatkowe dane identyfikujące mniej niż 50 osób — lecz w chwili zgłoszenia firma nie raportowała dostępu do urządzeń medycznych ani zakłóceń działalności. 1