Un groupe de hackers affirme être parti avec plus d'un téraoctet de données sensibles après que la société pharmaceutique a refusé de payer une rançon de 25 millions de dollars.
NurPhoto / Getty Images
Novo Nordisk a divulgué un incident de sécurité informatique impliquant un accès non autorisé à un nombre limité de systèmes internes, et un groupe de cyber extorsion a depuis revendiqué la responsabilité, affirmant avoir récupéré plus d'un téraoctet de données sensibles après que la société pharmaceutique danoise a refusé de payer une rançon de 25 millions de dollars.
Selon SecurityWeek, FulcrumSec a retracé son point d'entrée initial à un jeton d'accès GitHub découvert en mars — un jeton qui a ouvert la porte au clonage des dépôts internes et à l'extraction d'autres identifiants de connexion. Selon FulcrumSec, l'intrusion a duré plus de deux mois, le groupe repartant finalement avec une prise qu'il a décrite comme étant d'environ 1,3 téraoctets répartis sur plus de 700 000 fichiers individuels.
Parmi les catégories de données que FulcrumSec affirme avoir obtenues figurent le code source, les informations propriétaires sur les médicaments couvrant à la fois les composés commercialisés et en développement, les dossiers d'essais cliniques, les données sur les employés, les médecins et les patients, les détails liés aux opérations de fabrication, et les fichiers de modèles d'IA internes. Novo Nordisk a confirmé que certaines données non publiques, y compris des données personnelles, avaient été copiées sans autorisation, a déclaré l'entreprise.
Dans un communiqué à Reuters, a Novo Nordisk a déclaré que l'entreprise « est au courant des allégations selon lesquelles des données auraient été copiées à l'extérieur de nos systèmes sans autorisation et publiées en ligne », et a noté que les autorités ont été informées et que les plateformes principales n'ont pas été perturbées.
Deux jours après que FulcrumSec a d'abord contacté des cadres non nommés de Novo Nordisk, quelqu'un de l'entreprise a pris contact avec le groupe le 3 juin, a déclaré FulcrumSec. Avec la demande de rançon rejetée, FulcrumSec a indiqué avoir commencé à chercher des acheteurs privés pour certaines parties de la collection, bien que le groupe ait exprimé une préférence pour la publication publique, disant à Reuters que le faire est « un moyen de dissuasion plus efficace pour que les entreprises futures évitent de payer ».
Certains documents volés seront gardés hors des canaux publics, a déclaré FulcrumSec, en pointant des dossiers de personnel et de médecins, des données liées à environ 11 500 patients pseudonymisés inscrits dans des essais cliniques, et des fichiers de technologie opérationnelle des sites de fabrication de Novo Nordisk — une politique que le groupe décrit comme faisant partie de son cadre de réduction des dommages.
Un chercheur qui a suivi de près l'activité de FulcrumSec, Thomas Willkan de la société de cybersécurité Lab-1, a offert à Reuters une évaluation de la crédibilité du groupe, le qualifiant de « généralement assez légitime en termes de capacités et également de leurs revendications ».
La violation est d'autant plus sensible compte tenu des récents investissements de Novo Nordisk dans l'IA. L'entreprise a annoncé un partenariat avec OpenAI pour appliquer l'intelligence artificielle à travers la découverte de médicaments, la fabrication et les opérations commerciales, avec une intégration à l'échelle de l'entreprise prévue pour être achevée d'ici la fin de 2026. FulcrumSec affirme que les données volées incluent des modèles d'IA privés des systèmes internes de Novo Nordisk.
Le groupe est apparu pour la première fois sur le paysage des menaces en octobre 2025. Novo Nordisk fabrique les médicaments à succès pour la perte de poids et le diabète Wegovy et Ozempic.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
