Novo Nordisk potvrzuje únik dat po neoprávněném přístupu k interním systémům

Dánská farmaceutická společnost Novo Nordisk potvrdila kybernetický incident, při kterém útočníci získali neoprávněný přístup k omezenému počtu interních IT systémů a zkopírovali část neveřejných dat. Mezi dotčenými informacemi se nacházejí klinická data z vybraných studií a osobní údaje některých zdravotnických pracovníků.

Neoprávněný přístup zasáhl omezený počet systémů

Společnost uvedla, že incident zasáhl pouze omezený počet interních systémů, které byly následně preventivně odstaveny. Novo Nordisk do řešení zapojila externí specialisty na kybernetickou bezpečnost a incident oznámila příslušným regulačním orgánům.

Vyšetřování stále pokračuje a firma postupně obnovuje provoz postižených systémů. Podle vyjádření společnosti probíhá návrat do běžného stavu řízeným způsobem s důrazem na bezpečnost.

Klinická data byla zkopírována, pacienti však zůstávají pseudonymizováni

Útočníci získali přístup ke klinickým datům z vybraných studií. Novo Nordisk však zdůrazňuje, že údaje pacientů byly pseudonymizovány a neobsahovaly přímé identifikátory, jako jsou jména nebo kontaktní údaje.

Mezi potenciálně dotčené informace patří například:

• náhodně přidělená identifikační čísla účastníků studií,
• informace o účasti ve studii,
• pohlaví a rok narození,
• biomarkery,
• zdravotní a imunogenicitní údaje,
• informace o životním stylu, například kouření, konzumace alkoholu nebo BMI.

Společnost uvedla, že na základě současných poznatků nepředpokládá, že by bylo možné z uniklých dat identifikovat konkrétní účastníky klinických studií.

U zdravotnických pracovníků mohou být údaje přímo identifikovatelné

Odlišná situace se týká části dat zdravotnických pracovníků zapojených do klinických studií. V jejich případě nejsou některé údaje pseudonymizovány a mohou zahrnovat:

• jméno a příjmení,
• profesní registrační čísla,
• e-mailové adresy,
• telefonní čísla,
• kontaktní údaje využívané v aplikaci WhatsApp,
• adresy ordinací či pracovišť.

Novo Nordisk uvedla, že se jedná o omezené množství dat, která však mohou být využita například při cílených phishingových kampaních nebo sociálním inženýrství.

Incident se týká dvou skupin osob

Podle dosavadních informací se incident dotýká především:

1. pacientů zapojených do vybraných klinických studií,
2. zdravotnických pracovníků spolupracujících na těchto studiích.

Pacientům společnost sdělila, že v současnosti nemusí podnikat žádné konkrétní kroky, doporučuje jim však zvýšenou obezřetnost a nahlášení jakékoliv podezřelé komunikace, která by mohla s incidentem souviset.

K útoku se zatím nikdo nepřihlásil

V době publikace článku nebyla veřejně připsána odpovědnost žádné známé ransomwarové skupině ani jinému aktérovi hrozeb. Není proto jasné, kdo za útokem stojí ani jakým způsobem se útočníkům podařilo do interních systémů proniknout.

Novo Nordisk nadále spolupracuje s externími experty na vyšetřování incidentu a postupné obnově postižených systémů.