Novo Nordisk colpita da una violazione da 1,3 TB: rubati dati di sperimentazioni cliniche
Novo Nordisk, il colosso farmaceutico danese dietro i farmaci di successo Ozempic e Wegovy, sta affrontando una grave crisi di privacy legata alla violazione dei dati farmaceutici dopo che gli hacker hanno affermato di aver rubato 1,3 terabyte di file interni sensibili. Il gruppo dietro l'attacco sostiene che il bottino include dati di sperimentazioni cliniche e materiali legati all'intelligenza artificiale, e avrebbe già iniziato a diffondere online parte del contenuto rubato. Per un'azienda che si trova al centro di una delle categorie farmacologiche più rilevanti dal punto di vista commerciale nella medicina moderna, il momento e la portata di questa violazione sollevano interrogativi significativi su come persino le aziende con più risorse al mondo gestiscano i dati dei pazienti e dei partecipanti alla ricerca.
Cosa è stato rubato e cosa ha confermato Novo Nordisk
Gli attaccanti affermano di aver esfiltrato 1,3 TB di dati, un volume che indica qualcosa di ben più ampio di un furto mirato mordi e fuggi. Secondo quanto riferito, nella fuga di dati sarebbero inclusi file descritti come documenti di sperimentazioni cliniche e materiali di sviluppo dell'IA. I dati delle sperimentazioni cliniche sono tra le categorie più sensibili di informazioni sanitarie esistenti: possono includere anamnesi dei partecipanti, risposte ai dosaggi, registrazioni di eventi avversi e dettagli identificativi spesso molto più granulari di ciò che appare in una normale cartella clinica.
Al momento della stesura di questo articolo, Novo Nordisk non aveva ancora confermato pubblicamente l'intera portata della violazione né se i dati di pazienti e partecipanti agli studi fossero stati definitivamente compromessi. Questo silenzio, sebbene giuridicamente prudente, lascia le persone con poche possibilità di valutare la propria esposizione. La decisione degli hacker di iniziare a diffondere attivamente i file aumenta la pressione, poiché i dati trapelati che raggiungono mercati criminali o forum aperti sono quasi impossibili da recuperare.
Perché le grandi aziende farmaceutiche sono un bersaglio di alto valore per i gruppi ransomware
Le aziende farmaceutiche sono diventate tra gli obiettivi più appetibili nell'ecosistema del crimine informatico. Le ragioni vanno oltre il semplice opportunismo. Queste organizzazioni detengono una combinazione insolitamente densa di proprietà intellettuale, dati sanitari regolamentati e segreti commerciali, tutti con diversi punti di leva per gli attaccanti.
Per un'azienda come Novo Nordisk, che ha generato ricavi straordinari dagli agonisti del recettore GLP-1 e ha investito pesantemente nella scoperta di farmaci assistita dall'IA, gli archivi di dati sono straordinariamente preziosi. I dati delle sperimentazioni cliniche possono essere utilizzati per scalzare i concorrenti, venduti ad attori sponsorizzati da Stati interessati ad accelerare i propri programmi farmacologici, o semplicemente usati come leva in una richiesta di riscatto. I dati di addestramento dell'IA e i pesi dei modelli, se tra i file rubati, rappresentano anni di investimenti in ricerca che non possono essere semplicemente ricostruiti.
Il settore farmaceutico presenta anche vulnerabilità strutturali. Le grandi organizzazioni globali si affidano a reti complesse di organizzazioni di ricerca a contratto, responsabili del trattamento dei dati di terze parti e collaboratori accademici. Ogni connessione è un potenziale punto di ingresso. Anche le aziende con solide posizioni di sicurezza interna possono essere compromesse attraverso un fornitore o partner con difese più deboli.
Come le violazioni aziendali mettono a rischio i dati sanitari individuali
La maggior parte delle persone che hanno partecipato a sperimentazioni cliniche correlate a Ozempic o a Novo Nordisk ha probabilmente firmato moduli di consenso e dato per scontato che i propri dati fossero protetti nell'ambito dei principi etici standard della ricerca. Ciò che questi quadri raramente comunicano in modo chiaro è il rischio residuo che esiste quando i dati sensibili rimangono a tempo indeterminato sui server aziendali, molto tempo dopo la conclusione della sperimentazione.
Quando si verifica una violazione, quei dati non scompaiono. Entrano in un mercato secondario dove possono essere combinati con altri set di dati trafugati, un processo talvolta chiamato arricchimento dei dati, per costruire profili dettagliati delle persone che vanno ben oltre quanto originariamente raccolto. I dati sanitari sono particolarmente durevoli perché patologie, trattamenti e fattori genetici non cambiano come farebbe un numero di carta di credito.
Questo fa parte di un modello più ampio in cui i dati personali, una volta ceduti a un'azienda, sono in gran parte al di fuori del controllo dell'individuo. Come ha mostrato la copertura su IA e quadri di sorveglianza governativa, i confini tra la raccolta di dati aziendali e l'accesso istituzionale sono sempre più porosi. I dati che nascono in una sperimentazione clinica possono, in determinate condizioni legali, finire in contesti che le persone non avevano mai previsto.
La violazione di Novo Nordisk evidenzia anche una dimensione sottovalutata del rischio legato ai dati dell'IA. Se tra i file rubati ci fossero dati di addestramento per l'IA, ciò potrebbe significare che profili sanitari comportamentali, biologici o predittivi costruiti a partire da input reali dei pazienti siano ora in mani sconosciute. Come esplorato nella guida su come i sistemi di IA raccolgono e conservano i dati personali, la portata e la permanenza dei dati correlati all'IA creano rischi che i tradizionali quadri di notifica delle violazioni non sono mai stati progettati per gestire.
Passi che gli utenti attenti alla privacy possono compiere quando i loro dati risiedono su server aziendali
La risposta onesta è che una volta che i vostri dati sono all'interno di un sistema aziendale, il vostro controllo diretto su di essi è limitato. Ma ci sono passi concreti che riducono l'esposizione continua e vi aiutano a reagire se le vostre informazioni emergono in una violazione.
Richiedere la cancellazione dei dati laddove legalmente consentito. A seconda della giurisdizione, le leggi sulla privacy possono darvi il diritto di chiedere a un'azienda di cancellare i vostri dati personali. Il GDPR in Europa e diverse leggi a livello statale negli Stati Uniti prevedono questi diritti. Presentare una richiesta formale di cancellazione crea una traccia documentale e, in alcuni casi, riduce effettivamente il volume dei vostri dati in possesso di un'azienda.
Monitorare la presenza dei vostri dati nei database delle violazioni. I servizi che analizzano archivi noti di violazioni possono avvisarvi se il vostro indirizzo email o altri identificatori compaiono in set di dati trapelati. Questo non previene una violazione, ma vi offre una finestra di reazione più rapida per cambiare le credenziali e informare gli istituti finanziari.
Ridurre al minimo ciò che condividete con le entità aziendali in futuro. Quando vi iscrivete a studi, programmi fedeltà o app per la salute, valutate attentamente quali dati sono effettivamente necessari rispetto a quelli semplicemente richiesti. Fornire un minimo di informazioni identificative riduce la vostra impronta in qualsiasi eventuale violazione futura.
Comprendere che i dati sanitari hanno una lunga coda. A differenza delle credenziali finanziarie, le informazioni sanitarie non scadono. Considerate che i dati condivisi oggi con qualsiasi azienda del settore sanitario potrebbero essere ancora presenti su un server tra cinque o dieci anni, quando il panorama delle minacce sarà molto diverso.
Rimanere informati su come i sistemi di IA utilizzano i vostri dati. Se un'azienda dichiara di utilizzare strumenti di IA nella propria ricerca o nelle proprie operazioni, è un segnale che i vostri dati potrebbero confluire in sistemi con proprie politiche di conservazione e accesso. Consultare la nostra guida 2026 per proteggere la privacy dalla raccolta dati dell'IA è un punto di partenza concreto per comprendere tali rischi in termini pratici.
Il quadro generale
La violazione di Novo Nordisk non è un incidente isolato. Fa parte di un modello documentato di organizzazioni farmaceutiche e sanitarie che non riescono a proteggere adeguatamente i dati sensibili loro affidati da pazienti e partecipanti alla ricerca. Ciò che rende questo caso degno di nota è l'enorme volume di dati dichiarato e il fatto che tra i file rubati potrebbero esserci materiali legati all'IA, spingendo la violazione in un territorio che i quadri esistenti di notifica e risposta faticano ad affrontare.
Per le persone, il messaggio da cogliere non è l'impotenza, ma uno scetticismo informato. Comprendere come e dove vengono conservati i vostri dati sanitari, quali diritti avete per richiederne la cancellazione e come le violazioni aziendali si traducano in rischi personali costituisce la base della privacy pratica in un mondo in cui le vostre informazioni più sensibili risiedono abitualmente su server altrui. Iniziate con le risorse a vostra disposizione, valutate la vostra esposizione dei dati e compiete almeno un passo concreto questa settimana per ridurre la vostra impronta nei sistemi che non potete controllare.
