Brecha de datos de Novo Nordisk de 2026

La empresa afirmó que el incidente implicó a un número limitado de sistemas informáticos internos y el acceso no autorizado a ciertos datos personales almacenados en ellos. Mientras continuaba la investigación, también confirmó que algunos datos no públicos se habían copiado al exterior sin autorización. «Copiados al exterior» constituye un hallazgo de exfiltración más concluyente que la mera posibilidad de acceso, pero no se revelaron el número de archivos, el volumen de datos ni el método técnico empleado.

Novo Nordisk no identificó al responsable, el vector de acceso inicial, las cuentas utilizadas, una posible exigencia de rescate ni los productos y sistemas de investigación concretos implicados. Por tanto, no se presentan como hechos el uso de ransomware, la explotación de una vulnerabilidad específica, el robo de credenciales ni el respaldo de un Estado. El alcance verificado se limita al acceso a sistemas internos y a la copia externa no autorizada de la información especificada.

Las categorías de datos de pacientes afectadas incluyen un ID de paciente alfanumérico aleatorio e información sobre la participación en el ensayo, sexo, año de nacimiento, biomarcadores, datos de salud e inmunogenicidad y factores del estilo de vida, como el tabaquismo, el consumo de alcohol y el índice de masa corporal. Novo Nordisk recalcó que no todas las categorías correspondían necesariamente a todos los pacientes. Estos campos siguen siendo sensibles en el contexto de la investigación médica y se enumeran por separado en las categorías de datos.

Novo Nordisk afirmó que los datos estaban seudonimizados y no estaban vinculados directamente a los nombres de los pacientes ni a otros identificadores directos. Para identificar a un participante por su nombre sería necesario acceder a la información subyacente que permite establecer esa vinculación, la cual no quedó expuesta. Por ello, la empresa consideró que el incidente no permitía a terceros identificar a los participantes de los ensayos clínicos y no observó ningún riesgo inmediato para los pacientes, aunque siguió recomendando mantenerse alerta e informar de cualquier situación inusual.

La carta oficial dirigida a los profesionales de la salud confirma que se copió una cantidad limitada de datos no sensibles de estos profesionales (HCP). Las categorías son nombres y números de registro profesional, direcciones de correo electrónico, números de teléfono, datos de WhatsApp y ubicaciones de oficinas. La carta indica que no todas las categorías enumeradas correspondían necesariamente a todos los profesionales de la salud. La seudonimización que protege los datos de los pacientes no se aplica a estos campos de contacto directo de los HCP.

Novo Nordisk señaló como posibles consecuencias el phishing dirigido por correo electrónico, teléfono o WhatsApp y las comunicaciones fraudulentas que suplantan a colegas. Se aconsejó a los profesionales de la salud que se mantuvieran alerta ante mensajes y llamadas inesperados y que informaran a la empresa de cualquier actividad sospechosa. Los detalles verificables, como un número de registro o la ubicación de una oficina, pueden hacer que los intentos de contacto fraudulentos parezcan más creíbles.

Los nombres de los pacientes y otros identificadores directos no formaban parte de la información expuesta de los ensayos clínicos, y Novo Nordisk afirmó que los datos subyacentes necesarios para vincular la información con la identidad de un paciente no quedaron expuestos. Sin embargo, los nombres y los datos de contacto de los profesionales de la salud sí se vieron afectados de forma explícita. Estos hallazgos no deben confundirse: la afirmación «los nombres no quedaron expuestos» se aplica a los pacientes de los ensayos y no excluye la categoría de nombres de los HCP.

Novo Nordisk no enumeró públicamente campos relativos a empleados, clientes o proveedores; las referencias generales a datos de las partes interesadas no demuestran que todos esos grupos se vieran afectados. Tampoco se revelaron el número de ensayos, la lista de países ni el número de personas. La plantilla mundial de la empresa o el número de pacientes a los que llega no pueden utilizarse como total de afectados por la brecha.

Novo Nordisk afirmó que, tras conocer el incidente, inició una investigación con especialistas externos en ciberseguridad y se puso en contacto con las autoridades pertinentes. Desconectó temporalmente ciertos sistemas informáticos internos para proteger el entorno y comenzó a restablecerlos de forma controlada y segura. La empresa indicó que estaba informando a las partes afectadas según correspondiera, en función de la investigación.

Las operaciones principales de la empresa no se vieron afectadas y siguieron funcionando. Ese hallazgo describe la continuidad del servicio y no invalida la copia de datos confirmada. Novo Nordisk reconoció que restablecer de forma segura los sistemas afectados llevaría tiempo.

Este registro documenta dos conjuntos de datos en un mismo incidente: campos seudonimizados de ensayos clínicos que no están vinculados directamente a los nombres de los pacientes e información profesional y de contacto directa de profesionales de la salud. Un valor de cero en el número de personas afectadas significa que no se publicó un total verificado, no que nadie se viera afectado. La opinión de la empresa de que el incidente no permitía reidentificar a los pacientes no modifica el hallazgo de que se copiaron al exterior datos relacionados con la salud.

La conclusión verificada es que se accedió a un número limitado de sistemas internos, se copiaron al exterior datos personales no públicos, se vieron afectados campos seudonimizados de salud y estilo de vida de algunos pacientes de ensayos y quedaron afectados nombres, números de registro, datos de contacto y ubicaciones de algunos HCP. Los nombres de los pacientes y los datos que permiten vincular la información con su identidad no quedaron expuestos, y las operaciones principales continuaron. Las fechas exactas, el número de personas y el método de ataque siguen sin haberse revelado.