Kebocoran Data Novocure Berdampak pada Lebih dari 1.400 Pasien Kanker
Perusahaan healthtech di bidang onkologi, Novocure, mengungkapkan bahwa serangan siber pada pertengahan Agustus menyebabkan data lebih dari 1.400 pasien kanker di Amerika Serikat terekspos. Informasi sejumlah karyawan perusahaan juga ikut terdampak dalam insiden tersebut.
Novocure merupakan perusahaan onkologi global dengan lebih dari 1.300 karyawan yang beroperasi di Amerika Utara, Eropa, Timur Tengah, dan Asia. Perusahaan ini dikenal sebagai pengembang dan penyedia terapi Tumor Treating Fields (TTFields), yaitu terapi noninvasif yang menggunakan medan elektromagnetik untuk membantu menangani tumor kanker.
Serangan Ditemukan pada Pertengahan Agustus
Novocure mengungkapkan insiden tersebut dalam laporan kepada U.S. Securities and Exchange Commission (SEC). Perusahaan mengatakan menemukan adanya akses tidak sah ke sejumlah sistem informasinya pada pertengahan Agustus.
Investigasi lanjutan kemudian menunjukkan bahwa pelaku berhasil mengakses lebih dari 1.400 catatan pasien di Amerika Serikat yang berisi nomor identifikasi pasien.
Novocure menyatakan bahwa catatan tersebut tidak mencantumkan nama pasien maupun informasi identitas lainnya. Namun, terdapat kelompok pasien lain yang terdampak dengan informasi yang lebih sensitif.
Untuk kurang dari 50 pasien di wilayah Amerika Serikat bagian barat, penyerang diketahui mengakses informasi yang dapat mengidentifikasi pasien serta informasi kontak umum milik penyedia layanan kesehatan mereka.
Data Karyawan Juga Ikut Terekspos
Insiden tersebut tidak hanya berdampak pada data pasien. Informasi kontak sejumlah karyawan Novocure juga ikut terekspos.
Data yang terdampak mencakup antara lain:
- Informasi kontak karyawan.
- Jabatan atau posisi pekerjaan.
- Nomor telepon.
Novocure belum mengungkapkan jumlah pasti karyawan yang datanya terdampak.
Perusahaan juga masih mengevaluasi kewajiban hukum dan regulasi terkait pemberitahuan insiden. Novocure mengatakan akan melakukan seluruh pemberitahuan yang diwajibkan berdasarkan hasil investigasi, termasuk memberi tahu pasien yang terdampak.
Perangkat Medis Tidak Terpengaruh
Novocure menegaskan bahwa serangan tersebut tidak memberikan akses ke perangkat medis yang digunakan untuk perawatan pasien.
Perusahaan juga mengatakan kemampuan operasionalnya tidak terganggu dan seluruh sistem saat ini telah berfungsi secara normal.
Pernyataan tersebut penting mengingat Novocure mengembangkan dan mengoperasikan teknologi medis yang digunakan dalam penanganan kanker. Berdasarkan hasil investigasi sejauh ini, insiden berfokus pada sistem informasi perusahaan dan tidak menunjukkan adanya kompromi terhadap perangkat terapi medis.
Novocure belum mengungkapkan secara rinci bagaimana penyerang berhasil memperoleh akses ke jaringannya. Perusahaan juga belum memberikan informasi mengenai apakah terdapat tuntutan ransomware atau negosiasi pembayaran tebusan.
Serangan Siber Kembali Mengincar Sektor Kesehatan
Insiden Novocure terjadi ketika sektor kesehatan kembali menghadapi gelombang serangan siber dan kebocoran data dalam beberapa bulan terakhir.
Sebelumnya, Unlimited Technology Systems mengungkapkan bahwa pelanggaran data yang terjadi pada Oktober 2025 berdampak terhadap lebih dari 3,8 juta orang.
Perusahaan IT kesehatan lainnya, CareCloud, juga melaporkan bahwa insiden kebocoran data pada Maret berdampak terhadap lebih dari 3,7 juta individu.
Kasus lain melibatkan penyedia layanan kesehatan Nutex, yang mulai menyelidiki dugaan pencurian informasi dari server perusahaan.
Sementara itu, distributor produk farmasi McKesson mengungkapkan insiden keamanan siber setelah kelompok pemerasan ShinyHunters mengklaim telah mencuri 284 juta data pasien. Klaim tersebut masih berbeda konteks dengan insiden Novocure dan tidak berarti seluruh jumlah yang diklaim telah terverifikasi secara independen.
Novocure Masih Menyelidiki Dampak Insiden
Untuk saat ini, Novocure belum mengungkapkan bagaimana sistemnya berhasil ditembus maupun siapa yang berada di balik serangan tersebut. Investigasi juga masih berlangsung untuk menentukan cakupan data yang benar-benar diakses oleh pelaku.
Dengan data pasien dan informasi karyawan yang ikut terekspos, perusahaan perlu memastikan seluruh individu yang terdampak mendapatkan pemberitahuan sesuai kewajiban hukum yang berlaku.
Insiden ini kembali menunjukkan bahwa perusahaan di sektor kesehatan menjadi target menarik bagi pelaku serangan siber karena sistem mereka menyimpan berbagai informasi sensitif, termasuk data pasien, informasi kontak, serta data operasional yang dapat dimanfaatkan untuk serangan lanjutan.
Sumber: Novocure, U.S. Securities and Exchange Commission
