Novo Nordisk में 2026 का डेटा उल्लंघन

कंपनी ने कहा कि घटना में सीमित संख्या में आंतरिक IT सिस्टम और उन पर संग्रहीत कुछ व्यक्तिगत डेटा तक अनधिकृत पहुँच शामिल थी। जाँच जारी रहने के दौरान उसने यह भी पुष्टि की कि कुछ गैर-सार्वजनिक डेटा को बिना अनुमति बाहर कॉपी किया गया था। “बाहर कॉपी किया गया” केवल संभावित पहुँच की तुलना में डेटा बाहर ले जाए जाने का अधिक ठोस निष्कर्ष है। हालाँकि, फ़ाइलों की संख्या, डेटा की मात्रा और इस्तेमाल की गई तकनीकी विधि का खुलासा नहीं किया गया।

Novo Nordisk ने यह नहीं बताया कि घटना के पीछे कौन था, शुरुआती पहुँच किस माध्यम से मिली, किन खातों का इस्तेमाल हुआ, क्या फिरौती की कोई माँग की गई या कौन-से विशिष्ट उत्पाद और शोध सिस्टम शामिल थे। इसलिए रैंसमवेयर, किसी नामित भेद्यता, क्रेडेंशियल की चोरी या किसी देश की सरकार के समर्थन को तथ्य के रूप में शामिल नहीं किया गया है। सत्यापित दायरा आंतरिक सिस्टम तक पहुँच और निर्दिष्ट जानकारी को बिना अनुमति बाहर कॉपी किए जाने तक सीमित है।

प्रभावित रोगी डेटा की श्रेणियों में एक यादृच्छिक अक्षरांकीय रोगी ID और परीक्षण में भागीदारी की जानकारी, लिंग, जन्म वर्ष, जैवचिह्न, स्वास्थ्य और प्रतिरक्षाजनकता से संबंधित डेटा तथा धूम्रपान, शराब के सेवन और बॉडी मास इंडेक्स जैसे जीवनशैली संबंधी कारक शामिल हैं। Novo Nordisk ने ज़ोर दिया कि ज़रूरी नहीं कि हर श्रेणी हर रोगी पर लागू होती हो। चिकित्सा शोध के संदर्भ में ये जानकारी संवेदनशील बनी रहती है और इन्हें डेटा श्रेणियों में अलग-अलग सूचीबद्ध किया गया है।

Novo Nordisk ने कहा कि डेटा छद्मनामित था और सीधे तौर पर रोगियों के नाम या उनकी पहचान बताने वाले अन्य प्रत्यक्ष संकेतकों से जुड़ा नहीं था। किसी प्रतिभागी की नाम से पहचान करने के लिए उस मूल जानकारी तक पहुँच ज़रूरी होती, जो इस डेटा को उसकी पहचान से जोड़ती है और जो उजागर नहीं हुई थी। इसलिए कंपनी का मानना था कि इस घटना से किसी तीसरे पक्ष के लिए क्लिनिकल परीक्षणों के प्रतिभागियों की पहचान करना संभव नहीं हुआ। उसे रोगियों के लिए कोई तत्काल जोखिम भी नहीं दिखा, फिर भी उसने सतर्क रहने और कुछ भी असामान्य दिखने पर उसकी सूचना देने की सलाह दी।

स्वास्थ्य सेवा पेशेवरों के लिए जारी आधिकारिक पत्र पुष्टि करता है कि गैर-संवेदनशील HCP डेटा की सीमित मात्रा कॉपी की गई थी। इसकी श्रेणियाँ हैं: नाम और पेशेवर पंजीकरण संख्याएँ, ईमेल पते, फ़ोन नंबर, WhatsApp विवरण और कार्यालयों के स्थान। पत्र में कहा गया है कि ज़रूरी नहीं कि सूचीबद्ध हर श्रेणी हर स्वास्थ्य सेवा पेशेवर पर लागू होती हो। रोगी डेटा की सुरक्षा के लिए इस्तेमाल किया गया छद्मनामकरण HCP की सीधे संपर्क वाली इन जानकारी श्रेणियों पर लागू नहीं होता।

Novo Nordisk ने ईमेल, टेलीफ़ोन या WhatsApp के ज़रिए लक्षित फ़िशिंग और सहकर्मियों का रूप धरकर भेजे गए धोखाधड़ी वाले संदेशों को संभावित परिणाम बताया। स्वास्थ्य सेवा पेशेवरों को अप्रत्याशित संदेशों और कॉल के प्रति सतर्क रहने तथा संदिग्ध गतिविधि की सूचना कंपनी को देने की सलाह दी गई। पंजीकरण संख्या या कार्यालय के स्थान जैसे सत्यापन योग्य विवरण धोखाधड़ी के उद्देश्य से किए गए संपर्क को अधिक विश्वसनीय बना सकते हैं।

रोगियों के नाम और उनकी पहचान बताने वाले अन्य प्रत्यक्ष संकेतक उजागर हुई क्लिनिकल परीक्षण संबंधी जानकारी का हिस्सा नहीं थे। Novo Nordisk ने कहा कि रोगी की पहचान करने के लिए आवश्यक, डेटा को उसकी पहचान से जोड़ने वाली मूल जानकारी भी उजागर नहीं हुई थी। हालाँकि, स्वास्थ्य सेवा पेशेवरों के नाम और संपर्क विवरण स्पष्ट रूप से प्रभावित हुए थे। इन निष्कर्षों को एक-दूसरे से नहीं मिलाना चाहिए: “नाम उजागर नहीं हुए” परीक्षणों में शामिल रोगियों पर लागू होता है और इसका अर्थ यह नहीं है कि HCP नामों की श्रेणी प्रभावित नहीं हुई।

Novo Nordisk ने कर्मचारियों, ग्राहकों या विक्रेताओं से संबंधित डेटा श्रेणियों की सार्वजनिक सूची नहीं दी। हितधारकों के डेटा का व्यापक उल्लेख यह साबित नहीं करता कि इनमें से हर समूह प्रभावित हुआ था। परीक्षणों की संख्या, देशों की सूची और व्यक्तियों की संख्या का भी खुलासा नहीं किया गया। कंपनी के वैश्विक कार्यबल या उसकी पहुँच में आने वाले रोगियों की संख्या को इस डेटा उल्लंघन की कुल प्रभावित संख्या नहीं माना जा सकता।

Novo Nordisk ने कहा कि घटना की जानकारी मिलने के बाद उसने बाहरी साइबर सुरक्षा विशेषज्ञों के साथ जाँच शुरू की और संबंधित अधिकारियों से संपर्क किया। IT परिवेश की सुरक्षा के लिए उसने कुछ आंतरिक IT सिस्टम अस्थायी रूप से ऑफलाइन किए और फिर उन्हें नियंत्रित तथा सुरक्षित तरीके से दोबारा चालू करना शुरू किया। कंपनी ने कहा कि जाँच के आधार पर वह प्रभावित पक्षों को आवश्यकतानुसार सूचित कर रही थी।

मुख्य व्यावसायिक परिचालन प्रभावित नहीं हुए और चलते रहे। यह निष्कर्ष सेवाओं की निरंतरता के बारे में है और इससे डेटा कॉपी किए जाने की पुष्टि का खंडन नहीं होता। Novo Nordisk ने स्वीकार किया कि प्रभावित सिस्टम को सुरक्षित रूप से बहाल करने में समय लगेगा।

यह रिकॉर्ड एक ही घटना में डेटा के दो समूहों का विवरण देता है: क्लिनिकल परीक्षणों की छद्मनामित जानकारी, जो सीधे रोगियों के नाम से जुड़ी नहीं थी, और स्वास्थ्य सेवा पेशेवरों की प्रत्यक्ष पेशेवर तथा संपर्क जानकारी। प्रभावित व्यक्तियों की संख्या का मान शून्य होने का अर्थ है कि कोई सत्यापित कुल संख्या प्रकाशित नहीं हुई, न कि कोई भी प्रभावित नहीं हुआ। कंपनी का यह मानना कि घटना से रोगियों की दोबारा पहचान करना संभव नहीं हुआ, इस निष्कर्ष को नहीं बदलता कि स्वास्थ्य संबंधी डेटा बाहर कॉपी किया गया था।

सत्यापित निष्कर्ष यह है कि सीमित संख्या में आंतरिक सिस्टम तक पहुँच बनाई गई, गैर-सार्वजनिक व्यक्तिगत डेटा बाहर कॉपी किया गया, कुछ परीक्षणों के रोगियों की छद्मनामित स्वास्थ्य और जीवनशैली संबंधी जानकारी इसमें शामिल थी, और कुछ HCP के नाम, पंजीकरण विवरण, संपर्क विवरण तथा स्थान प्रभावित हुए। रोगियों के नाम और डेटा को उनकी पहचान से जोड़ने वाली जानकारी उजागर नहीं हुई, और मुख्य परिचालन जारी रहे। सटीक समय, व्यक्तियों की संख्या और हमले की विधि का खुलासा अब भी नहीं किया गया है।