À la mi-août 2026, NovoCure a détecté un accès non autorisé à certains de ses systèmes d’information par l’intermédiaire d’une filiale. Dans un Form 8-K déposé le 1er septembre, l’entreprise d’oncologie a décrit les catégories de données exposées, tout en précisant que ses dispositifs médicaux n’avaient pas été accessibles et que ses systèmes restaient fonctionnels.
L’enjeu pour les patients n’est donc pas une interruption de traitement documentée, mais la possibilité qu’un contexte de soins serve à rendre une fraude plus crédible. La notification individuelle et le périmètre exact restent des points à suivre dans les communications officielles de NovoCure.
Ce que NovoCure a confirmé
Le fait établi par la déclaration SEC est un accès non autorisé à certains systèmes d’information, découvert à la mi-août 2026 via une filiale. NovoCure dit avoir activé son plan de réponse, mis en place des mesures de confinement, ouvert une enquête interne et fait appel à des experts indépendants en investigation numérique pour examiner les données accessibles.
La société n’a pas publié le vecteur d’accès, la durée de présence de l’intrus ni le nom d’un groupe responsable. Les articles de presse parlent d’une cyberattaque, mais la formulation primaire reste celle d’un accès non autorisé ; il faut conserver cette précision tant que l’enquête n’a pas établi davantage.
Le périmètre des données n’est pas uniforme
Le premier groupe comprend plus de 1 400 dossiers de patients américains avec un identifiant interne NovoCure. Selon la société, ces identifiants ne sont utilisés qu’en interne et aucun nom ni autre donnée identifiante n’a été exposé pour ces dossiers. Ce chiffre ne permet donc pas d’affirmer que plus de 1 400 dossiers médicaux nominatifs ont été publiés.
Un second groupe, de moins de 50 patients dans l’ouest des États-Unis, avait des données comprenant des informations identifiantes supplémentaires. NovoCure ne détaille pas publiquement ces catégories dans le dépôt du 1er septembre. L’exposition concernait aussi des coordonnées générales de professionnels de santé partenaires et de salariés, notamment leurs fonctions et numéros de téléphone ; le nombre d’employés concernés n’est pas précisé.
NovoCure affirme par ailleurs qu’aucun accès à ses dispositifs de traitement n’a été obtenu, que sa capacité à fonctionner n’a pas été compromise et que tous ses systèmes étaient pleinement opérationnels au moment de la déclaration. Cette continuité concerne la disponibilité du service ; elle ne réduit pas l’importance de l’atteinte potentielle à la confidentialité.
Ce qui reste sous enquête
Le Form 8-K indique que NovoCure continuait à déterminer les faits et le périmètre de l’incident. Il ne permet pas de conclure quelle application a été atteinte, comment l’accès initial a été obtenu, quelles données ont été copiées ou combien de salariés ont été concernés.
BleepingComputer a rapporté qu’un groupe se présentant comme ShinyHunters revendiquait l’attaque et avait publié une archive de 33 Go présentée comme issue des systèmes de NovoCure. Cette attribution, le volume annoncé et le contenu de l’archive sont des revendications externes ; NovoCure ne nomme pas ce groupe dans sa déclaration SEC et ne confirme pas publiquement cette archive.
Notification et actions pour les personnes concernées
Au 1er septembre, NovoCure disait encore évaluer les obligations légales et réglementaires applicables. L’entreprise annonçait qu’elle effectuerait les notifications requises, y compris auprès des patients concernés, mais ne précisait ni le calendrier ni le canal. Il ne faut donc pas transformer l’annonce générale en promesse d’un service de surveillance, d’un gel de crédit ou d’une mesure qui n’a pas été publiée.
Si vous recevez une lettre ou un courriel, vérifiez d’abord qu’il provient bien de NovoCure : ouvrez vous-même le site officiel, utilisez une adresse déjà connue et ne transmettez jamais un code, un mot de passe ou une pièce d’identité en réponse à une sollicitation inattendue. Ne modifiez pas un traitement médical sur la base d’un message de sécurité ; adressez toute question clinique à votre professionnel de santé.
Pour les patients dont une notification confirmerait l’exposition d’informations identifiantes, conservez la lettre, surveillez les relevés d’assurance et les dossiers médicaux, et suivez les mesures indiquées. La FTC recommande, selon les données exposées, de vérifier les rapports de crédit, d’envisager une alerte à la fraude ou un gel de crédit, et d’utiliser IdentityTheft.gov si une usurpation est constatée. Les salariés et professionnels de santé dont les coordonnées ont été exposées doivent également s’attendre à des appels ou courriels d’usurpation plus personnalisés.
Ce que les organisations de santé doivent vérifier
Le cas NovoCure montre pourquoi la disponibilité des dispositifs et la confidentialité des dossiers doivent être suivies séparément. Une organisation peut continuer à faire fonctionner ses équipements et ses services tout en devant encore établir qui a pu consulter ou copier des informations dans ses systèmes.
Les responsables doivent recenser les applications contenant des identifiants patients, les correspondances entre identifiants internes et personnes, ainsi que les coordonnées de professionnels et de salariés. Les journaux d’authentification, d’administration et d’accès aux fichiers doivent être préservés avant toute rotation ou nettoyage. Les comptes de filiales, prestataires et anciens collaborateurs doivent être revus ; les accès inutiles et les secrets réutilisés doivent pouvoir être révoqués rapidement.
Enfin, le plan de notification doit prévoir une communication compréhensible sur les catégories réellement concernées, un canal de vérification indépendant et des consignes adaptées aux patients, aux employés et aux professionnels de santé. Dans cet incident, cette séparation évite d’assimiler « systèmes fonctionnels » à « données sans risque ».
Le lien avec Soclyde
Soclyde ne protège pas les systèmes de NovoCure et ne peut pas déterminer quelles données ont été consultées. Son utilité se situe autour des accès humains qui entourent les applications de santé : générer un secret unique pour chaque service, le conserver dans un coffre chiffré local-first et réduire les copies centralisées.
Cette pratique ne remplace ni l’analyse forensique, ni la segmentation des données patients, ni les obligations de notification. Elle facilite toutefois la rotation des accès lorsque l’enquête révèle un compte exposé et évite qu’un secret réutilisé propage un incident vers d’autres services.
À retenir
NovoCure a confirmé un accès non autorisé découvert à la mi-août 2026, avec des identifiants internes liés à plus de 1 400 dossiers de patients américains et des informations identifiantes supplémentaires concernant moins de 50 autres patients de l’ouest des États-Unis. Le nombre de salariés concernés, le vecteur d’accès et l’attribution restent inconnus ; les notifications individuelles sont encore à préciser dans la déclaration publiée.
Le bon réflexe consiste à vérifier toute communication par un canal officiel, à surveiller les signaux de fraude liés à l’assurance ou aux dossiers médicaux et à ne pas relayer les revendications non confirmées. Pour réduire la réutilisation des secrets côté organisation, consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
