Novocure a raportat către U.S. Securities and Exchange Commission că a descoperit, la mijlocul lunii august 2026, acces neautorizat la unele sisteme informatice. Investigația a identificat expunerea unor date despre pacienți, furnizori medicali și angajați. Compania a precizat separat că atacatorul nu a obținut acces la dispozitivele sale de tratament, operațiunile nu au fost compromise și sistemele erau complet funcționale la data raportării.
Ce confirmă documentul oficial
- Novocure a activat planul de răspuns, a aplicat măsuri de limitare, a deschis o investigație internă și a implicat specialiști independenți în criminalistică digitală.
- Pentru peste 1.400 de înregistrări ale unor pacienți din SUA au fost expuse numai identificatoare interne Novocure; compania spune că în acest set nu existau nume sau alte date de identificare.
- Mai puțin de 50 de înregistrări ale unor pacienți din vestul SUA includeau informații suplimentare de identificare, fără ca documentul să enumere câmpurile exacte.
- Au fost expuse informații generale de contact pentru furnizori medicali cu care compania lucrează și pentru angajați Novocure, inclusiv funcții și numere de telefon.
- Compania continuă să evalueze obligațiile legale și de reglementare și spune că va transmite notificările necesare, inclusiv pacienților afectați.
- La data raportării, Novocure nu anticipa un impact material asupra situației financiare sau rezultatelor, dar investigația era încă în desfășurare.
De ce un identificator intern nu este automat lipsit de risc
Un ID care nu conține singur numele unei persoane are un risc diferit de un dosar cu identificatori direcți. Totuși, clasificarea nu trebuie oprită la denumirea câmpului. Echipa de privacy trebuie să stabilească dacă valoarea poate fi asociată cu o persoană prin alte sisteme, cine are acces la mapare, cât timp este păstrată și dacă a fost expus context suplimentar. În același timp, comunicarea trebuie să respecte precizarea Novocure că numele și alte date identificatoare nu făceau parte din setul de peste 1.400 de înregistrări.
Comunicarea trebuie împărțită pe dimensiuni, nu redusă la „totul funcționează”
- Siguranța tratamentului: există sau nu dovadă de acces la dispozitive, configurații ori fluxuri clinice?
- Disponibilitatea: ce servicii funcționează, ce sisteme au fost izolate și ce procese au soluții de continuitate?
- Confidențialitatea: ce categorii de persoane și ce câmpuri sunt confirmat afectate, posibil afectate sau încă în analiză?
- Integritatea: există dovadă că date, instrucțiuni sau configurații au fost modificate, nu doar citite?
- Obligațiile: cine decide notificarea, în ce jurisdicție, la ce moment și pe baza cărei liste validate?
- Impactul financiar: evaluarea materialității pentru investitori nu înlocuiește evaluarea riscului pentru fiecare persoană.
Phishingul poate folosi tocmai informațiile generale
Un nume de rol, un număr de telefon și relația cu o companie medicală pot ajuta un atacator să construiască un apel convingător, chiar dacă nu deține un dosar clinic. Angajații, furnizorii și suportul trebuie să se aștepte la pretexte despre verificarea incidentului, actualizarea dispozitivului, confirmarea unui pacient sau trimiterea unei notificări. Mesajul de awareness trebuie să ofere o metodă concretă de verificare.
- Nu instala actualizări și nu permite acces la distanță pornind de la un apel sau mesaj nesolicitat despre incident.
- Nu confirma existența unui pacient, un identificator intern, o programare sau date despre tratament către un apelant neverificat.
- Închide conversația și folosește numărul, portalul ori contactul contractual cunoscut anterior pentru a verifica solicitarea.
- Help desk-ul nu cere parole, coduri MFA sau seturi suplimentare de date medicale pentru a confirma dacă o persoană este afectată.
- Raportează mesajul cu metadatele disponibile; nu îl redistribui în grupuri largi dacă include date personale.
Tabletop: dispozitive sigure, investigație de date deschisă
Exercițiul trebuie să includă securitate, IT, clinic, privacy, juridic, suport, comunicare și management. Pentru fiecare inject cere participanților să eticheteze informația drept confirmată, raportată, posibilă sau necunoscută înainte de a lua o decizie.
- Inject 1 — forensics confirmă acces la un sistem administrativ, dar nu la dispozitive. Cine poate comunica această separare și ce dovadă trebuie păstrată?
- Inject 2 — apare un export cu ID-uri interne, iar maparea către pacienți este într-un alt sistem. Cine determină dacă setul poate reidentifica persoane?
- Inject 3 — sub 50 de înregistrări conțin date suplimentare, dar câmpurile nu sunt încă validate. Ce spui persoanelor, presei și suportului?
- Inject 4 — furnizorii medicali primesc apeluri despre o actualizare urgentă a dispozitivelor. Cum verifică solicitarea și cum distribui alerta?
- Inject 5 — sistemele funcționează, iar conducerea întreabă dacă incidentul poate fi închis. Ce investigații, notificări și controale mai lipsesc?
Indicatori care măsoară comportamentul, nu doar prezența la curs
- Timpul până la separarea impactului asupra dispozitivelor, disponibilității, confidențialității și integrității.
- Procentul mesajelor aprobate care includ faptele confirmate și necunoscutele fără contradicții între echipe.
- Timpul până la identificarea ownerului pentru maparea dintre ID-urile interne și persoanele reale.
- Rata de raportare a apelurilor simulate care folosesc rolul, telefonul și contextul medical al țintei.
- Procentul răspunsurilor help desk care verifică solicitantul printr-un canal independent și evită colectarea excesivă.
- Timpul până la actualizarea listei de notificare când investigația schimbă categoriile sau numărul persoanelor afectate.
Incidentul Novocure oferă o lecție utilă pentru orice organizație care combină tehnologie operațională sau dispozitive conectate cu date personale: siguranța serviciului și protecția datelor au trasee de investigare diferite. Echipele pregătite le urmăresc în paralel, comunică precis și oferă oamenilor pași verificabili chiar înainte ca toate necunoscutele să fie rezolvate.