Violation de données de Novo Nordisk en 2026

L’entreprise a indiqué que l’incident concernait un nombre limité de systèmes informatiques internes et un accès non autorisé à certaines données personnelles qui y étaient stockées. Alors que l’enquête se poursuivait, elle a également confirmé que certaines données non publiques avaient été copiées vers l’extérieur sans autorisation. La mention « copiées vers l’extérieur » constitue un constat d’exfiltration plus probant que la seule possibilité d’un accès, mais le nombre de fichiers, le volume de données et la méthode technique n’ont pas été divulgués.

Novo Nordisk n’a précisé ni l’auteur de l’incident, ni le vecteur d’accès initial, ni les comptes utilisés, ni l’existence d’une éventuelle demande de rançon, ni les produits et systèmes de recherche concernés. Un rançongiciel, une vulnérabilité précise, un vol d’identifiants ou le soutien d’un État ne sont donc pas présentés comme des faits. Le périmètre vérifié se limite à l’accès à des systèmes internes et à la copie non autorisée, vers l’extérieur, des informations spécifiées.

Les catégories de données des patients touchées comprennent un identifiant patient (ID) alphanumérique aléatoire et des informations sur la participation aux essais, le sexe, l’année de naissance, les biomarqueurs, les données de santé et d’immunogénicité, ainsi que des facteurs liés au mode de vie, comme le tabagisme, la consommation d’alcool et l’indice de masse corporelle. Novo Nordisk a souligné que toutes ces catégories ne s’appliquaient pas nécessairement à chaque patient. Ces champs restent sensibles dans un contexte de recherche médicale et figurent séparément dans les catégories de données.

Novo Nordisk a indiqué que les données étaient pseudonymisées et n’étaient pas directement associées aux noms des patients ni à d’autres identifiants directs. Pour identifier un participant par son nom, il aurait fallu accéder aux données de correspondance sous-jacentes, qui n’ont pas été exposées. L’entreprise estimait donc que l’incident ne permettait pas à des tiers d’identifier les participants aux essais cliniques et ne voyait pas de risque immédiat pour les patients, tout en recommandant de rester vigilant et de signaler toute anomalie.

La lettre officielle destinée aux professionnels de santé confirme qu’une quantité limitée de données non sensibles les concernant (HCP) a été copiée. Les catégories sont les noms et les numéros d’inscription professionnelle, les adresses e-mail, les numéros de téléphone, les coordonnées WhatsApp et les lieux d’exercice. La lettre précise que toutes les catégories énumérées ne s’appliquaient pas nécessairement à chaque professionnel de santé. La pseudonymisation qui protège les données des patients ne s’applique pas à ces champs de coordonnées directes des professionnels de santé.

Novo Nordisk a cité, parmi les conséquences possibles, l’hameçonnage ciblé par e-mail, téléphone ou WhatsApp, ainsi que les communications frauduleuses usurpant l’identité de collègues. Il a été conseillé aux professionnels de santé de rester attentifs aux messages et appels inattendus et de signaler toute activité suspecte à l’entreprise. Des détails vérifiables, comme un numéro d’inscription professionnelle ou un lieu d’exercice, peuvent rendre une prise de contact frauduleuse plus crédible.

Les noms des patients et les autres identifiants directs ne faisaient pas partie des informations exposées provenant des essais cliniques. Novo Nordisk a indiqué que les données de correspondance sous-jacentes nécessaires à l’identification d’un patient n’avaient pas été exposées. En revanche, les noms et les coordonnées des professionnels de santé étaient explicitement concernés. Ces constats ne doivent pas être confondus : l’affirmation « les noms n’ont pas été exposés » s’applique aux patients des essais et n’exclut pas la catégorie des noms des professionnels de santé (HCP).

Novo Nordisk n’a pas énuméré publiquement les champs concernant les employés, les clients ou les fournisseurs; des références générales aux données des parties prenantes ne prouvent pas que chaque groupe a été touché. Le nombre d’essais, la liste des pays et le nombre de personnes n’ont pas non plus été divulgués. Les effectifs mondiaux de l’entreprise ou le nombre de patients qu’elle dessert ne peuvent pas servir de total pour cette violation de données.

Novo Nordisk a indiqué avoir ouvert une enquête avec des spécialistes externes en cybersécurité et contacté les autorités compétentes après avoir pris connaissance de l’incident. L’entreprise a temporairement mis hors ligne certains systèmes informatiques internes pour protéger son environnement et a commencé à les remettre en service de manière contrôlée et sécurisée. Elle a déclaré informer les parties touchées selon les besoins, en fonction des résultats de l’enquête.

Les principales activités de l’entreprise n’ont pas été affectées et se sont poursuivies. Ce constat décrit la continuité des activités et ne remet pas en cause la copie confirmée de données. Novo Nordisk a reconnu que la remise en service sécurisée des systèmes touchés prendrait du temps.

Cette fiche décrit deux ensembles de données concernés par un même incident : des champs pseudonymisés issus d’essais cliniques, sans lien direct avec les noms des patients, et des informations professionnelles et des coordonnées permettant d’identifier directement des professionnels de santé. Une valeur de zéro pour le nombre de personnes touchées signifie qu’aucun total vérifié n’a été publié, et non que personne n’a été touché. L’avis de l’entreprise selon lequel l’incident ne permettait pas la réidentification des patients ne change pas le constat que des données relatives à la santé ont été copiées vers l’extérieur.

La conclusion vérifiée est qu’un nombre limité de systèmes internes a fait l’objet d’un accès, que des données personnelles non publiques ont été copiées vers l’extérieur, que des champs pseudonymisés relatifs à la santé et au mode de vie de certains patients participant aux essais étaient concernés, et que les noms, numéros d’inscription professionnelle, coordonnées et lieux d’exercice de certains professionnels de santé (HCP) ont été touchés. Les noms des patients et les données de correspondance n’ont pas été exposés, et les principales activités se sont poursuivies. Les dates exactes, le nombre de personnes et la méthode d’attaque restent non divulgués.