Novo Nordisk 2026 数据泄露事件

公司表示，此次事件涉及数量有限的内部 IT 系统，以及对这些系统中存储的部分个人数据的未经授权访问。在调查仍在进行期间，公司还确认，部分非公开数据已被未经授权地复制到外部。与仅存在可能的访问相比，“复制到外部”更明确地表明数据已被外传，但文件数量、数据量和具体技术手段均未披露。

Novo Nordisk 未披露实施者、初始入侵途径、所用账户、是否存在赎金要求，或涉及的具体产品及研究系统。因此，不能将勒索软件、某个已知名称的漏洞、凭据盗窃或国家支持列为事实。已核实的范围是：内部系统遭到访问，特定信息被未经授权地复制到外部。

受影响的患者数据类别包括由随机字母和数字组成的患者 ID、试验参与信息、性别、出生年份、生物标志物、健康和免疫原性数据，以及吸烟、饮酒和身体质量指数等生活方式相关因素。Novo Nordisk 强调，并非每位患者都一定涉及所有数据类别。在医学研究背景下，这些字段仍属敏感信息，并在数据类别中分别列出。

Novo Nordisk 表示，这些数据经过假名化处理，与患者姓名或其他直接标识符没有直接关联。要识别参与者的姓名，需要访问底层关联信息，而这些信息并未泄露。因此，公司认为此次事件不会使第三方得以识别临床试验参与者，也未发现患者面临即时风险，但仍建议保持警惕，并报告任何异常情况。

致医疗专业人员的官方信函确认，少量非敏感的医疗专业人员（HCP）数据被复制。涉及的类别包括姓名和执业注册编号、电子邮箱地址、电话号码、WhatsApp 信息及办公地点。信函指出，并非每位医疗专业人员都一定涉及所列的全部数据类别。用于保护患者数据的假名化处理并不适用于这些可直接联系 HCP 的字段。

Novo Nordisk 指出，可能的后果包括通过电子邮件、电话或 WhatsApp 开展的定向网络钓鱼，以及冒充同事的欺诈性联系。公司建议医疗专业人员警惕意外收到的消息和来电，并向公司报告可疑活动。注册编号或办公地点等可核实的细节，可能使欺诈性联系显得更可信。

泄露的临床试验信息不包含患者姓名或其他直接标识符，Novo Nordisk 也表示，用于识别患者身份的底层关联数据并未泄露。不过，医疗专业人员的姓名和联系方式明确受到影响。不能混淆这两项结论：“姓名未泄露”适用于试验患者，并不意味着 HCP 姓名这一数据类别未受影响。

Novo Nordisk 未公开逐项列出涉及员工、客户或供应商的数据字段；笼统提及利益相关方数据，并不能证明每一类群体都受到影响。试验数量、所涉国家名单及人数也均未披露。不能将公司的全球员工总数或患者覆盖人数用作此次泄露的总人数。

Novo Nordisk 表示，在获悉事件后，公司与外部网络安全专家共同启动了调查，并联系了相关主管机构。为保护 IT 环境，公司暂时将部分内部 IT 系统下线，随后开始以受控、安全的方式逐步恢复这些系统。公司表示，正在根据调查情况，酌情通知受影响的各方。

核心业务运营未受影响，并持续运行。这一结论说明的是服务连续性，并不否定已经确认的数据复制事实。Novo Nordisk 承认，安全恢复受影响的系统需要时间。

本记录记载了同一事件中涉及的两类群体的数据：一类是与患者姓名没有直接关联的假名化临床试验字段，另一类是医疗专业人员的直接职业信息和联系方式。受影响人数记为零，表示没有公布经过核实的总数，而非无人受到影响。公司认为此次事件未使患者身份得以被重新识别，但这并不改变健康相关数据已被复制到外部的结论。

已核实的结论是：数量有限的内部系统遭到访问，非公开个人数据被复制到外部，部分试验患者经过假名化处理的健康及生活方式字段涉及其中，部分 HCP 的姓名、注册信息、联系方式和地点信息受到影响。患者姓名及关联数据未泄露，核心业务运营持续进行。确切时间、涉及人数及攻击方式仍未披露。