Vazamento de dados da Novo Nordisk em 2026

A empresa informou que o incidente envolveu um número limitado de sistemas internos de TI e o acesso não autorizado a determinados dados pessoais armazenados neles. Enquanto a investigação prosseguia, também confirmou que alguns dados não públicos haviam sido copiados para fora de seus sistemas sem autorização. A confirmação de que os dados foram “copiados para fora dos sistemas” constitui uma constatação de exfiltração mais sólida do que a mera possibilidade de acesso, mas o número de arquivos, o volume de dados e o método técnico não foram divulgados.

A Novo Nordisk não identificou o responsável, o vetor de acesso inicial, as contas utilizadas, uma possível exigência de resgate ou os produtos e sistemas de pesquisa específicos envolvidos. Portanto, ransomware, uma vulnerabilidade identificada pelo nome, roubo de credenciais e patrocínio estatal não são apresentados como fatos. O escopo verificado é o acesso a sistemas internos e a cópia não autorizada das informações especificadas para fora desses sistemas.

As categorias de dados de pacientes afetadas incluem um ID de paciente alfanumérico aleatório e informações sobre a participação no ensaio, sexo, ano de nascimento, biomarcadores, dados de saúde e imunogenicidade e fatores de estilo de vida, como tabagismo, consumo de álcool e índice de massa corporal. A Novo Nordisk ressaltou que nem todas as categorias necessariamente se aplicavam a todos os pacientes. Esses campos continuam sendo sensíveis no contexto de pesquisa médica e estão listados separadamente nas categorias de dados.

A Novo Nordisk informou que os dados estavam pseudonimizados e não eram diretamente vinculados aos nomes dos pacientes ou a outros identificadores diretos. Identificar um participante pelo nome exigiria acesso às informações que permitem fazer essa vinculação, que não foram expostas. Por isso, a empresa não considerou que o incidente permitisse a identificação dos participantes dos ensaios clínicos por terceiros e não identificou risco imediato para os pacientes, mas ainda assim recomendou atenção e a comunicação de qualquer situação incomum.

A carta oficial aos profissionais de saúde confirma que uma quantidade limitada de dados não sensíveis desses profissionais (HCP) foi copiada. As categorias são nomes e números de registro profissional, endereços de e-mail, números de telefone, dados de WhatsApp e localização dos locais de trabalho. A carta informa que nem todas as categorias listadas necessariamente se aplicavam a todos os profissionais de saúde. A pseudonimização que protege os dados dos pacientes não se aplica a esses campos de contato direto dos profissionais de saúde (HCP).

A Novo Nordisk apontou como possíveis consequências o phishing direcionado por e-mail, telefone ou WhatsApp e as comunicações fraudulentas de pessoas que se passam por colegas. Os profissionais de saúde foram orientados a ficar atentos a mensagens e ligações inesperadas e a comunicar atividades suspeitas à empresa. Detalhes verificáveis, como um número de registro profissional ou a localização do local de trabalho, podem dar mais credibilidade a contatos fraudulentos.

Os nomes dos pacientes e outros identificadores diretos não faziam parte das informações de ensaios clínicos expostas, e a Novo Nordisk informou que os dados de vinculação necessários para identificar um paciente não foram expostos. Já os nomes e dados de contato dos profissionais de saúde foram explicitamente afetados. Essas constatações não devem ser confundidas: a afirmação de que “os nomes não foram expostos” se aplica aos pacientes dos ensaios e não exclui a categoria de nomes de profissionais de saúde (HCP).

A Novo Nordisk não enumerou publicamente os campos referentes a funcionários, clientes ou fornecedores; referências genéricas a dados de partes interessadas não comprovam que cada grupo tenha sido afetado. O número de ensaios, a lista de países e a contagem de pessoas também não foram divulgados. O número de funcionários da empresa no mundo ou seu alcance entre pacientes não podem ser usados como o total de pessoas afetadas pelo vazamento.

A Novo Nordisk informou que iniciou uma investigação com especialistas externos em cibersegurança e entrou em contato com as autoridades competentes após tomar conhecimento do incidente. A empresa retirou temporariamente determinados sistemas internos de TI do ar para proteger o ambiente e começou a restabelecê-los de forma controlada e segura. Também informou que estava notificando as partes afetadas conforme apropriado, com base na investigação.

As operações essenciais da empresa não foram afetadas e continuaram funcionando. Essa constatação descreve a continuidade dos serviços e não anula a cópia confirmada de dados. A Novo Nordisk reconheceu que a restauração segura dos sistemas afetados levaria tempo.

Este registro documenta dois grupos de dados em um único incidente: campos pseudonimizados de ensaios clínicos, sem vínculo direto com os nomes dos pacientes, e informações profissionais e de contato diretas de profissionais de saúde. Um valor zero para pessoas afetadas significa que nenhum total verificado foi publicado, e não que ninguém tenha sido afetado. A avaliação da empresa de que o incidente não permitiu a reidentificação dos pacientes não altera a constatação de que dados relacionados à saúde foram copiados para fora de seus sistemas.

A conclusão verificada é que um número limitado de sistemas internos foi acessado, dados pessoais não públicos foram copiados para fora desses sistemas, campos pseudonimizados de saúde e estilo de vida de alguns pacientes de ensaios clínicos foram envolvidos e nomes, registros profissionais, contatos e localizações de alguns profissionais de saúde (HCP) foram afetados. Os nomes dos pacientes e os dados de vinculação não foram expostos, e as operações essenciais continuaram. As datas exatas, a contagem de pessoas e o método de ataque permanecem não divulgados.