Хакери вкрали 1,3 ТБ даних у виробника Ozempic

Хакерське угруповання Ful­crum­Sec оголосило про приватний продаж даних, викрадених у данської фармацевтичної компанії Novo Nordisk — виробника популярних препаратів для схуднення Ozem­pic і Wegovy. Причиною стала відмова компанії виплатити викуп у розмірі 25 мільйонів доларів.

Novo Nordisk офіційно підтвердила інцидент, назвавши його порушенням інформаційної безпеки. За версією компанії, невідома третя сторона без дозволу скопіювала частину непублічних даних за межі корпоративного середовища. 11 червня розпочалося розсилання повідомлень постраждалим пацієнтам і медичним працівникам.

Компанія стверджує, що витік стосувався лише обмеженого обсягу псевдонімізованих даних учасників окремих клінічних випробувань — без прямих ідентифікаторів особи. До переліку можливих категорій належать: умовний ідентифікатор пацієнта, стать, рік народження, біомаркери, медичні та імунологічні показники, а також дані про спосіб життя — куріння, вживання алкоголю та індекс маси тіла. Основні бізнес-процеси, за словами Novo Nordisk, не постраждали.

Однак масштаб, який описують зловмисники, разюче відрізняється від офіційної версії. Ful­crum­Sec заявляє, що провела у внутрішній мережі компанії понад два місяці та вивела близько 1,3 ТБ даних — понад 700 тисяч файлів. Серед них, за твердженням угруповання, містяться записи про 11 500 учасників клінічних випробувань, 163 тисячі досьє на співробітників, тисячі репозиторіїв вихідного коду, десятки внутрішніх ШІ-моделей, а також дані про невипущені препарати, виробничі процеси та понад 41 тисячу експериментальних сполук лінійки GLP‑1.

Доступ до інфраструктури хакери нібито отримали через скомпрометований персональний токен GitHub, після чого переміщалися по Azure DevOps, GitHub, AWS та Hug­ging­Face компанії. Також Ful­crum­Sec заявляє про доступ до облікових даних систем фармаконагляду, де обробляються повідомлення про серйозні побічні ефекти препаратів.

Незалежно верифікувати заяви Ful­crum­Sec наразі неможливо, а Novo Nordisk публічно не коментує обсяги, які фігурують у заявах зловмисників. Утім, навіть псевдонімізовані медичні дані несуть реальні ризики: зіставлення дати народження, статі та непрямих ознак із зовнішніми базами дає змогу встановити особу, а часткові медичні відомості — конструювати переконливі фішингові атаки.

Ful­crum­Sec з’явилася восени 2025 року і позиціонує себе не як класичне вимагацьке угруповання, а як продавець викрадених масивів даних. Раніше група заявляла про злам Lex­is­Nex­is. Керівник досліджень Lab‑1 Томас Вілкан у коментарі Reuters зазначав, що Ful­crum­Sec зазвичай виглядає достатньо переконливо як за технічними можливостями, так і за заявленими компрометаціями. Для Novo Nordisk наслідки інциденту можуть вийти далеко за межі стандартного повідомлення про злам: якщо зловмисники справді перебували в інфраструктурі більше двох місяців, компанії доведеться перевіряти не лише факт витоку, а й цілісність дослідницьких даних — що може вплинути на терміни активних клінічних випробувань і викликати додаткові запитання від регуляторів.