خرق بيانات Novo Nordisk لعام 2026

قالت الشركة إن الحادثة شملت عددًا محدودًا من أنظمة تقنية المعلومات الداخلية ووصولًا غير مصرح به إلى بعض البيانات الشخصية المخزنة عليها. وبينما كان التحقيق مستمرًا، أكدت أيضًا أن بعض البيانات غير العامة نُسخت إلى الخارج دون تصريح. ويشير وصف البيانات بأنها «نُسخت إلى الخارج» إلى إخراجها بصورة أكثر تأكيدًا من مجرد احتمال الوصول إليها، لكن لم يُفصح عن عدد الملفات أو حجم البيانات أو الطريقة التقنية المستخدمة.

لم تحدد Novo Nordisk الجهة المنفذة، أو وسيلة الوصول الأولي، أو الحسابات المستخدمة، أو أي طلب محتمل للفدية، أو المنتجات وأنظمة البحث المحددة التي شملتها الحادثة. ولذلك، لا تُضاف برمجيات الفدية أو ثغرة محددة بالاسم أو سرقة بيانات الاعتماد أو دعم من دولة إلى الوقائع. ويقتصر النطاق المتحقق منه على الوصول إلى أنظمة داخلية ونسخ معلومات محددة إلى الخارج دون تصريح.

تشمل فئات بيانات المرضى المتضررة معرّفًا عشوائيًا للمريض مؤلفًا من أحرف وأرقام، ومعلومات المشاركة في التجربة، والجنس، وسنة الميلاد، والمؤشرات الحيوية، والبيانات الصحية وبيانات القدرة على تحفيز استجابة مناعية، وعوامل نمط الحياة مثل التدخين واستهلاك الكحول ومؤشر كتلة الجسم. وشددت Novo Nordisk على أنه ليس بالضرورة أن تنطبق جميع الفئات على كل مريض. وتظل هذه الحقول حساسة في سياق البحث الطبي، وتُدرج كل منها على حدة ضمن فئات البيانات.

قالت Novo Nordisk إن البيانات كانت مُعرَّفة بمعرّفات مستعارة ولم تكن مرتبطة مباشرة بأسماء المرضى أو غيرها من المعرّفات المباشرة. ويتطلب تحديد اسم أحد المشاركين الوصول إلى معلومات الربط الأصلية التي لم تنكشف. ولذلك، لم تعتبر الشركة أن الحادثة تتيح لأطراف ثالثة تحديد هوية المشاركين في التجارب السريرية، ولم ترَ خطرًا فوريًا على المرضى، مع استمرار توصيتها باليقظة والإبلاغ عن أي أمر غير معتاد.

تؤكد الرسالة الرسمية الموجهة إلى الممارسين الصحيين نسخ كمية محدودة من بيانات الممارسين الصحيين (HCP) غير الحساسة. وتشمل الفئات الأسماء وأرقام التسجيل المهني، وعناوين البريد الإلكتروني، وأرقام الهواتف، وبيانات WhatsApp، ومواقع المكاتب. وتذكر الرسالة أنه ليس بالضرورة أن تنطبق كل فئة مدرجة على كل ممارس صحي. ولا تنطبق آلية استخدام المعرّفات المستعارة التي تحمي بيانات المرضى على حقول الاتصال المباشرة هذه الخاصة بالممارسين الصحيين (HCP).

حددت Novo Nordisk التصيد الاحتيالي الموجّه عبر البريد الإلكتروني أو الهاتف أو WhatsApp، والاتصالات الاحتيالية التي تنتحل صفة الزملاء، بوصفها عواقب محتملة. ونُصح الممارسون الصحيون بالانتباه إلى الرسائل والمكالمات غير المتوقعة وإبلاغ الشركة بأي نشاط مشبوه. وقد تجعل التفاصيل القابلة للتحقق، مثل رقم التسجيل أو موقع المكتب، الاتصالات الاحتيالية تبدو أكثر مصداقية.

لم تكن أسماء المرضى وغيرها من المعرّفات المباشرة ضمن معلومات التجارب السريرية التي انكشفت، وقالت Novo Nordisk إن بيانات الربط الأصلية اللازمة لتحديد هوية المريض لم تنكشف. أما أسماء الممارسين الصحيين وبيانات الاتصال بهم، فقد تأثرت صراحةً. ويجب عدم الخلط بين هاتين النتيجتين: فعبارة «لم تنكشف الأسماء» تنطبق على مرضى التجارب ولا تستبعد فئة أسماء الممارسين الصحيين (HCP).

لم تنشر Novo Nordisk قائمة بالحقول المتعلقة بالموظفين أو العملاء أو الموردين؛ فالإشارات العامة إلى بيانات أصحاب المصلحة لا تثبت أن كل مجموعة قد تأثرت. كما لم يُفصح عن عدد التجارب أو قائمة البلدان أو عدد الأشخاص. ولا يجوز استخدام عدد العاملين لدى الشركة عالميًا أو عدد المرضى الذين تصل إليهم خدماتها باعتباره إجماليًا للمتضررين من الخرق.

قالت Novo Nordisk إنها بدأت تحقيقًا بمشاركة متخصصين خارجيين في الأمن السيبراني، وتواصلت مع السلطات المعنية بعد علمها بالحادثة. وفصلت مؤقتًا بعض أنظمة تقنية المعلومات الداخلية عن الشبكة لحماية البيئة التقنية، وبدأت إعادتها إلى العمل بطريقة منضبطة وآمنة. وقالت الشركة إنها كانت تُبلغ الأطراف المتضررة حسب الاقتضاء استنادًا إلى نتائج التحقيق.

لم تتأثر العمليات الأساسية للشركة واستمرت في العمل. وتصف هذه النتيجة استمرارية الخدمة، ولا تنفي نسخ البيانات المؤكد. وأقرت Novo Nordisk بأن استعادة الأنظمة المتضررة بصورة آمنة ستستغرق وقتًا.

يوثق هذا السجل مجموعتين من البيانات ضمن حادثة واحدة: حقول بيانات التجارب السريرية المُعرَّفة بمعرّفات مستعارة وغير المرتبطة مباشرة بأسماء المرضى، والمعلومات المهنية وبيانات الاتصال المباشرة للممارسين الصحيين. وتعني القيمة الصفرية لعدد الأشخاص المتضررين أنه لم يُنشر إجمالي متحقق منه، لا أن أحدًا لم يتضرر. ولا يغيّر رأي الشركة بأن الحادثة لم تُتح إعادة تحديد هوية المرضى من حقيقة أن بيانات متعلقة بالصحة نُسخت إلى الخارج.

الخلاصة المتحقق منها هي أن عددًا محدودًا من الأنظمة الداخلية تعرض لوصول غير مصرح به، وأن بيانات شخصية غير عامة نُسخت إلى الخارج، وأن الحادثة شملت حقولًا صحية وحقولًا متعلقة بنمط الحياة لبعض مرضى التجارب، مُعرَّفة بمعرّفات مستعارة، وطالت أسماء بعض الممارسين الصحيين (HCP) وأرقام تسجيلهم وبيانات الاتصال بهم ومواقعهم. ولم تنكشف أسماء المرضى أو بيانات الربط، واستمرت العمليات الأساسية. أما التوقيت الدقيق وعدد الأشخاص وطريقة الهجوم، فلا تزال غير معلنة.