Утечка данных Novo Nordisk в 2026 году

По заявлению компании, инцидент затронул ограниченное число внутренних IT-систем и включал несанкционированный доступ к определённым персональным данным, хранившимся в них. Пока расследование продолжалось, компания также подтвердила, что часть непубличных данных была без разрешения скопирована во внешнюю среду. Формулировка «скопированы во внешнюю среду» указывает на эксфильтрацию данных с большей определённостью, чем один лишь возможный доступ, однако число файлов, объём данных и технический способ копирования не были раскрыты.

Novo Nordisk не сообщила, кто стоял за инцидентом, как был получен первоначальный доступ, какие учётные записи использовались, предъявлялось ли требование выкупа и какие именно продукты и исследовательские системы были затронуты. Поэтому использование программ-вымогателей, конкретной уязвимости, кража учётных данных и государственная поддержка не представлены здесь как установленные факты. Подтверждены доступ к внутренним системам и несанкционированное копирование указанных сведений во внешнюю среду.

Среди затронутых категорий данных пациентов, случайный буквенно-цифровой идентификатор пациента и сведения об участии в исследовании, пол, год рождения, биомаркеры, данные о здоровье и иммуногенности, а также факторы образа жизни, такие как курение, употребление алкоголя и индекс массы тела. Novo Nordisk подчеркнула, что не каждая категория обязательно относилась к каждому пациенту. Эти сведения остаются чувствительными в контексте медицинских исследований и перечислены отдельно в категориях данных.

Novo Nordisk заявила, что данные были псевдонимизированы и не имели прямой связи с именами пациентов или другими прямыми идентификаторами. Чтобы установить имя участника, потребовался бы доступ к исходным данным, обеспечивающим такую связь; эти данные не были раскрыты. Поэтому компания не считала, что инцидент позволяет третьим лицам установить личности участников клинических исследований, и не усматривала непосредственного риска для пациентов. При этом она всё же рекомендовала сохранять бдительность и сообщать обо всём необычном.

Официальное письмо медицинским работникам подтверждает, что был скопирован ограниченный объём данных медицинских работников (HCP), не относящихся к чувствительным. К указанным категориям относятся имена и профессиональные регистрационные номера, адреса электронной почты, номера телефонов, сведения WhatsApp и адреса рабочих мест. В письме отмечается, что не каждая перечисленная категория обязательно относилась к каждому медицинскому работнику. Псевдонимизация, защищавшая данные пациентов, не распространяется на эти поля с прямыми контактными данными HCP.

Novo Nordisk назвала среди возможных последствий целевой фишинг по электронной почте, телефону или через WhatsApp, а также мошеннические сообщения от лиц, выдающих себя за коллег. Медицинским работникам рекомендовали настороженно относиться к неожиданным сообщениям и звонкам и сообщать компании о подозрительной активности. Проверяемые сведения, например регистрационный номер или адрес рабочего места, могут придать мошенническому обращению видимость достоверности.

Имена пациентов и другие прямые идентификаторы не входили в состав раскрытых данных клинических исследований. Novo Nordisk также заявила, что исходные данные, необходимые для установления личности пациента, не были раскрыты. Однако имена и контактные сведения медицинских работников были прямо указаны как затронутые. Эти выводы нельзя смешивать: утверждение «имена не были раскрыты» относится к пациентам клинических исследований и не исключает имена HCP из затронутых категорий.

Novo Nordisk не опубликовала перечень полей с данными сотрудников, клиентов или поставщиков; общие упоминания данных заинтересованных сторон не доказывают, что была затронута каждая из этих групп. Число исследований, список стран и число людей также не раскрывались. Нельзя использовать численность сотрудников компании по всему миру или число охватываемых ею пациентов в качестве общего числа пострадавших от утечки.

Novo Nordisk заявила, что, узнав об инциденте, начала расследование с участием внешних специалистов по кибербезопасности и связалась с соответствующими органами. Для защиты IT-среды компания временно отключила некоторые внутренние IT-системы, а затем начала возвращать их в работу безопасным и контролируемым образом. Компания сообщила, что уведомляет затронутые стороны по мере необходимости, исходя из результатов расследования.

Основная деятельность компании не пострадала и продолжалась. Этот вывод касается непрерывности работы и не отменяет подтверждённого факта копирования данных. Novo Nordisk признала, что безопасное восстановление затронутых систем потребует времени.

Эта запись описывает две группы данных, затронутые одним инцидентом: псевдонимизированные сведения клинических исследований, не связанные напрямую с именами пациентов, и прямые профессиональные и контактные сведения медицинских работников. Нулевое значение числа пострадавших означает, что подтверждённое общее число не было опубликовано, а не то, что никто не пострадал. Мнение компании о том, что инцидент не позволял повторно установить личности пациентов, не меняет вывода о том, что данные о здоровье были скопированы во внешнюю среду.

Подтверждённый вывод состоит в том, что был получен доступ к ограниченному числу внутренних систем, непубличные персональные данные были скопированы во внешнюю среду, инцидент затронул псевдонимизированные сведения о здоровье и образе жизни некоторых пациентов клинических исследований, а также имена, регистрационные данные, контакты и адреса рабочих мест некоторых HCP. Имена пациентов и данные, позволяющие связать сведения с их личностями, не были раскрыты, а основная деятельность компании продолжалась. Точные сроки, число затронутых людей и способ атаки остаются нераскрытыми.