Novo Nordisk dotknięty wyciekiem 1,3 TB: skradziono dane z badań klinicznych
Novo Nordisk, duński gigant farmaceutyczny stojący za przebojowymi lekami Ozempic i Wegovy, stoi w obliczu poważnego kryzysu prywatności związanego z wyciekiem danych farmaceutycznych po tym, jak hakerzy twierdzą, że ukradli 1,3 terabajta wrażliwych plików wewnętrznych. Grupa stojąca za atakiem informuje, że wśród łupów znajdują się dane z badań klinicznych oraz materiały związane ze sztuczną inteligencją, i podobno zaczęła już upubliczniać część skradzionej zawartości w sieci. Dla firmy znajdującej się w centrum jednej z najbardziej komercyjnie znaczących kategorii leków we współczesnej medycynie, czas i zakres tego wycieku rodzą poważne pytania o to, jak nawet najlepiej wyposażone korporacje na świecie obchodzą się z danymi pacjentów i uczestników badań.
Co zostało skradzione i co potwierdziło Novo Nordisk
Napastnicy twierdzą, że wykradli 1,3 TB danych, co wskazuje na znacznie więcej niż szybki atak typu „smash-and-grab”. Wśród przedostających się plików znajdują się podobno zapisy z badań klinicznych oraz materiały dotyczące rozwoju sztucznej inteligencji. Dane z badań klinicznych należą do najbardziej wrażliwych kategorii informacji zdrowotnych: mogą obejmować historie medyczne uczestników, reakcje na dawkowanie, zapisy zdarzeń niepożądanych oraz dane identyfikacyjne, które często są znacznie bardziej szczegółowe niż to, co znajduje się w standardowej dokumentacji pacjenta.
Do czasu publikacji tego raportu Novo Nordisk nie potwierdziło publicznie pełnego zakresu wycieku ani tego, czy dane pacjentów i uczestników badań zostały definitywnie naruszone. To milczenie, choć uzasadnione prawną ostrożnością, pozostawia jednostki z niewielką możliwością oceny własnego narażenia. Decyzja hakerów o rozpoczęciu aktywnego wycieku plików zwiększa presję, ponieważ dane, które trafią na rynki przestępcze lub na otwarte fora, są praktycznie niemożliwe do odzyskania.
Dlaczego wielka farmacja jest cennym celem dla grup ransomware
Firmy farmaceutyczne stały się jednymi z najbardziej atrakcyjnych celów w ekosystemie cyberprzestępczym. Przyczyny wykraczają poza zwykły oportunizm. Organizacje te posiadają wyjątkowo gęste połączenie własności intelektualnej, regulowanych danych zdrowotnych i tajemnic handlowych, z których każda kategoria daje atakującym różne punkty nacisku.
Dla firmy takiej jak Novo Nordisk, która osiągnęła nadzwyczajne przychody z agonistów receptora GLP-1 i intensywnie inwestuje w odkrywanie leków wspomagane sztuczną inteligencją, magazyny danych są niezwykle cenne. Dane z badań klinicznych mogą zostać wykorzystane do podcięcia konkurentów, sprzedane podmiotom sponsorowanym przez państwo zainteresowanym przyspieszeniem własnych programów lekowych lub po prostu użyte jako broń w żądaniu okupu. Dane treningowe AI i wagi modeli, jeśli znajdują się wśród skradzionych plików, reprezentują lata inwestycji badawczych, których nie da się po prostu odtworzyć.
Sektor farmaceutyczny wykazuje również strukturalne słabości. Duże globalne organizacje polegają na skomplikowanych sieciach organizacji prowadzących badania kontraktowe, zewnętrznych podmiotach przetwarzających dane i współpracownikach akademickich. Każde połączenie jest potencjalnym punktem wejścia. Nawet firmy o silnych wewnętrznych zabezpieczeniach mogą zostać naruszone przez dostawcę lub partnera o słabszej obronie.
Jak wycieki korporacyjne narażają indywidualne dane zdrowotne na ryzyko
Większość osób, które uczestniczyły w badaniach klinicznych związanych z Ozempikiem lub prowadzonych przez Novo Nordisk, prawdopodobnie podpisała formularze zgody i zakładała, że ich dane będą chronione zgodnie ze standardowymi ramami etyki badawczej. To, czego te ramy rzadko jasno komunikują, to ryzyko rezydualne istniejące, gdy wrażliwe dane przechowywane są na serwerach korporacyjnych bezterminowo, długo po zakończeniu badania.
Gdy dochodzi do wycieku, dane te nie znikają. Trafiają na rynek wtórny, gdzie mogą być łączone z innymi wyciekającymi zestawami danych — proces ten czasem nazywany jest wzbogacaniem danych — aby budować szczegółowe profile jednostek, które wykraczają daleko poza to, co pierwotnie zebrano. Dane zdrowotne są szczególnie trwałe, ponieważ schorzenia, leczenie i czynniki genetyczne nie zmieniają się tak, jak numer karty kredytowej.
Jest to część szerszego schematu, w którym dane osobowe, raz przekazane korporacji, znajdują się w dużej mierze poza kontrolą jednostki. Jak pokazały analizy dotyczące sztucznej inteligencji i ram nadzoru rządowego, granice między korporacyjnym gromadzeniem danych a dostępem instytucjonalnym stają się coraz bardziej przepuszczalne. Dane, które powstają w badaniu klinicznym, mogą w pewnych warunkach prawnych trafić do kontekstów, których jednostki nigdy by się nie spodziewały.
Wyciek w Novo Nordisk podkreśla również niedoceniany wymiar ryzyka związanego z danymi AI. Jeśli wśród skradzionych plików znalazły się dane treningowe AI, może to oznaczać, że profile behawioralne, biologiczne lub predykcyjne profile zdrowotne zbudowane na podstawie rzeczywistych danych pacjentów trafiły teraz w nieznane ręce. Jak omówiono w materiale o tym, jak systemy AI zbierają i przechowują dane osobowe, skala i trwałość danych towarzyszących sztucznej inteligencji stwarzają ryzyka, z którymi tradycyjne ramy powiadamiania o naruszeniach nigdy nie były projektowane, aby sobie radzić.
Kroki, które mogą podjąć użytkownicy dbający o prywatność, gdy ich dane znajdują się na serwerach korporacyjnych
Szczera odpowiedź brzmi: gdy twoje dane znajdą się w systemie korporacyjnym, twoja bezpośrednia kontrola nad nimi jest ograniczona. Istnieją jednak znaczące kroki, które zmniejszają bieżące narażenie i pomagają zareagować, jeśli twoje informacje pojawią się w wycieku.
Złóż wniosek o usunięcie danych, gdy jest to prawnie dozwolone. W zależności od jurysdykcji przepisy dotyczące prywatności mogą dawać ci prawo do żądania od firmy usunięcia twoich danych osobowych. RODO w Europie i różne przepisy na poziomie stanowym w Stanach Zjednoczonych przyznają te prawa. Złożenie formalnego wniosku o usunięcie tworzy ślad papierowy, a w niektórych przypadkach faktycznie zmniejsza ilość twoich danych przechowywanych przez firmę.
Monitoruj swoje dane w bazach danych naruszeń. Usługi, które skanują znane repozytoria wycieków, mogą cię powiadomić, jeśli twój adres e-mail lub inne identyfikatory pojawią się w wyciekających zestawach danych. Nie zapobiega to wyciekowi, ale daje szybsze okno reakcji na zmianę danych uwierzytelniających i powiadomienie instytucji finansowych.
Ogranicz to, czym dzielisz się z podmiotami korporacyjnymi w przyszłości. Zapisując się do badań, programów lojalnościowych lub aplikacji zdrowotnych, dokładnie sprawdzaj, które dane są faktycznie wymagane, a które są jedynie proszone. Podawanie minimum informacji identyfikujących zmniejsza twój ślad w przypadku ewentualnego wycieku.
Zrozum, że dane zdrowotne mają długi ogon. W przeciwieństwie do danych uwierzytelniających finansowych informacje zdrowotne nie tracą ważności. Weź pod uwagę, że dane udostępnione dziś jakiejkolwiek firmie powiązanej ze zdrowiem mogą nadal znajdować się na serwerze za pięć czy dziesięć lat, kiedy środowisko zagrożeń będzie wyglądać zupełnie inaczej.
Bądź na bieżąco z tym, jak systemy AI wykorzystują twoje dane. Jeśli firma ujawnia, że korzysta z narzędzi AI w swoich badaniach lub działalności, jest to sygnał, że twoje dane mogą zasilać systemy z własnymi zasadami przechowywania i dostępu. Zapoznanie się z naszym przewodnikiem na 2026 rok dotyczącym ochrony prywatności przed gromadzeniem danych przez AI jest praktycznym punktem wyjścia do zrozumienia tych zagrożeń w konkretnych kategoriach.
Szerszy obraz
Wyciek w Novo Nordisk nie jest incydentem odosobnionym. Jest częścią udokumentowanego schematu, w którym organizacje farmaceutyczne i opieki zdrowotnej nie chronią odpowiednio wrażliwych danych powierzonych im przez pacjentów i uczestników badań. To, co czyni ten przypadek godnym uwagi, to sama ilość danych, o którą się twierdzi, oraz fakt, że wśród skradzionych plików mogą znajdować się materiały związane ze sztuczną inteligencją, co wpycha to naruszenie na terytorium, z którym istniejące ramy powiadamiania i reagowania mają trudności.
Dla jednostek przesłaniem nie jest bezradność, lecz świadomy sceptycyzm. Zrozumienie, jak i gdzie przechowywane są twoje dane zdrowotne, jakie masz prawa do żądania ich usunięcia i jak wycieki korporacyjne przekładają się na ryzyko osobiste, jest fundamentem praktycznej prywatności w świecie, w którym twoje najbardziej wrażliwe informacje rutynowo znajdują się na czyimś serwerze. Zacznij od dostępnych ci zasobów, przejrzyj swoją ekspozycję danych i podejmij w tym tygodniu przynajmniej jeden konkretny krok, aby zmniejszyć swój ślad w systemach, nad którymi nie masz kontroli.
