Novocures cyberincident: Över 1 400 patientuppgifter berörda – men inga behandlingsenheter nåddes

Novocure uppger att ett dotterbolag i mitten av augusti 2026 upptäckte obehörig åtkomst till vissa av företagets informationssystem. Enligt bolagets pågående utredning exponerades begränsade uppgifter om patienter, vårdgivare och anställda. Däremot ska inga medicinska behandlingsenheter ha nåtts, verksamheten ska inte ha påverkats och samtliga system ska ha varit fullt fungerande. 1

Vilka patientuppgifter exponerades?

Den största berörda gruppen omfattar fler än 1 400 patientjournaler i USA. För dessa rörde det sig om Novocures interna patient-ID:n. Bolaget uppger att numren endast används internt och att varken patientnamn eller andra identifierande uppgifter exponerades för denna grupp. 1

En separat, mindre grupp omfattar färre än 50 patienter i västra USA. Där ingick ytterligare identifierande information i det material som åtkoms. Novocure har inte närmare angett vilka identifierande uppgifter det handlade om i sin anmälan. 1

Även kontaktuppgifter till vårdgivare och anställda

Enligt Novocure omfattade de exponerade uppgifterna också:

• allmänna kontaktuppgifter till vårdgivare som arbetar med bolaget,
• kontaktuppgifter till anställda, inklusive befattning och telefonnummer. 1

Bolaget har inte uppgett hur många vårdgivare eller anställda som berördes. 1

Vad påverkades inte?

Novocure uppger att den obehöriga parten inte fick tillgång till företagets medicinska behandlingsenheter. Bolaget säger också att dess förmåga att bedriva verksamheten inte komprometterades och att alla system fungerade fullt ut. 1

Det är en viktig avgränsning för ett företag inom vårdteknik: rapporten beskriver en incident med informationssäkerhet och exponerade data, inte ett rapporterat intrång i behandlingsutrustning eller ett driftsavbrott.

Så svarade Novocure

Efter att incidenten upptäckts aktiverade Novocure sin plan för hantering av cybersäkerhetsincidenter, vidtog åtgärder för att begränsa händelsen och inledde en intern utredning. Företaget anlitade även oberoende it-forensiska experter för att bistå i utredningen och granska de data som hade åtkommits. 1

Novocure uppger att bolaget bedömer sina skyldigheter att lämna underrättelser och kommer att informera berörda parter, inklusive patienter, när så krävs. 1

Ingen väsentlig finansiell effekt väntades

I sin anmälan den 1 september 2026 uppgav Novocure att bolaget inte bedömde att incidenten hade haft, eller rimligen sannolikt skulle få, en väsentlig påverkan på den finansiella ställningen eller rörelseresultatet. Utredningen pågick fortfarande, vilket innebär att bedömningen utgick från den information som fanns tillgänglig vid tidpunkten för offentliggörandet. 1

En del av en bredare våg – men med olika följder

Novocures besked kom under en period med flera cyberincidenter inom vård- och medicintekniksektorn. Konsekvenserna har dock sett mycket olika ut.

• Abbott uppgav att två separata incidenter i interna system inte påverkade verksamheten.
• Medtronic sade att en attack mot bolagets it-nätverk inte påverkade produkter, patientbehov, tillverkning eller distribution och inte väntades få någon väsentlig effekt på verksamheten eller ekonomin.
• West Pharmaceutical Services uppgav att verksamheten återställts efter en attack och att bolaget inte väntade sig någon väsentlig påverkan på utsikterna för 2026.
• Stryker rapporterade betydande störningar i orderhantering, tillverkning och kundleveranser. Reuters rapporterade också att vissa patientingrepp sköts upp.
• Boston Scientific rapporterade störningar i den globala verksamheten, bland annat i system som används för att behandla och skicka kundorder. 18
• Novo Nordisk uppgav att obehöriga aktörer kopierat viss information från interna it-system, inklusive patientdata från vissa kliniska prövningar.

Huvudpunkten i Novocures rapport är därmed tydlig: patientrelaterade uppgifter och kontaktuppgifter exponerades, inklusive fler än 1 400 interna patient-ID:n och ytterligare identifierande uppgifter för färre än 50 patienter. Men enligt bolagets uppgifter hade inga behandlingsenheter åtkommits och verksamheten hade inte störts vid tidpunkten för anmälan. 1