Novo Nordisk Contata Autoridades Sobre Suposta Violação de Dados de 1TB
A gigante farmacêutica Novo Nordisk confirmou que está em contato com as autoridades competentes após um grupo de hackers alegar ter roubado e publicado mais de um terabyte de dados da empresa. A fabricante de medicamentos, mais conhecida pelos seus tratamentos para diabetes e perda de peso, afirma que está a monitorizar os seus sistemas e a manter as operações normais enquanto investiga o incidente reportado.
A situação levanta questões urgentes sobre a forma como as empresas de saúde e farmacêuticas lidam com dados sensíveis, e o que pacientes e funcionários podem fazer quando organizações em que confiam se tornam alvos.
O Que a Novo Nordisk Disse Até Agora
A resposta da Novo Nordisk tem sido ponderada. A empresa confirmou ter conhecimento das alegações e declarou que está a colaborar com as autoridades como parte da sua resposta. Para além de reconhecer que um grupo de hackers alegadamente publicou dados, a Novo Nordisk não forneceu uma confirmação detalhada sobre exatamente que informações foram afetadas ou como a violação pode ter ocorrido.
Este tipo de divulgação cuidadosa e limitada é comum nas fases iniciais de um incidente cibernético corporativo. As empresas enfrentam pressões concorrentes: a obrigação legal de notificar as partes afetadas, a necessidade operacional de investigar antes de fazer declarações definitivas e o risco reputacional de comunicar em excesso ou parecer minimizar um evento grave. O resultado é frequentemente um período de espera que deixa os indivíduos potencialmente afetados sem respostas claras.
Conforme noticiado separadamente, este incidente tem características consistentes com uma campanha de extorsão cibernética, na qual os atacantes roubam dados e ameaçam publicá-los se as exigências não forem satisfeitas. Este padrão tornou-se cada vez mais comum em todos os setores, mas tem um peso particular na saúde e na indústria farmacêutica, onde os dados envolvidos podem incluir registos clínicos, identificadores de pacientes e investigação proprietária.
Para um contexto mais amplo sobre as alegações em torno desta violação, incluindo detalhes reportados sobre os tipos de dados alegadamente envolvidos, Novo Nordisk Atingida por Violação de 1,3TB: Dados de Ensaios Clínicos Roubados fornece informações adicionais.
Por Que as Violações de Dados Farmacêuticos São Especialmente Graves
A maioria das pessoas associa violações de dados a informações financeiras, palavras-passe ou contas de redes sociais. Uma violação que envolva uma grande empresa farmacêutica acarreta consequências diferentes e potencialmente mais duradouras.
As empresas farmacêuticas detêm uma série de categorias sensíveis: registos de participantes em ensaios clínicos, históricos de saúde, dados pessoais de funcionários, investigação proprietária de desenvolvimento de medicamentos e, em alguns casos, informações sobre profissionais de saúde que interagem com a empresa. Ao contrário de um número de cartão de crédito roubado, que pode ser cancelado e substituído, as informações de saúde são permanentes. Podem ser usadas para fraudes em seguros, roubo de identidade ou ataques de phishing direcionados que exploram o conhecimento do historial médico de uma pessoa.
O setor da saúde tornou-se cada vez mais um alvo principal para grupos de extorsão precisamente devido a esta sensibilidade. Os riscos são suficientemente elevados para que as organizações possam sentir pressão para pagar as exigências, e os reguladores em muitas jurisdições tratam as violações de dados de saúde com particular seriedade. Uma dinâmica semelhante ocorreu na violação da iRhythm envolvendo aplicações em nuvem de terceiros, onde informações de saúde de pacientes foram expostas através de sistemas fora da infraestrutura direta da empresa.
O Que Isto Significa Para Si
Se é um paciente que participou em ensaios clínicos da Novo Nordisk, utilizou os seus medicamentos, ou se o seu prestador de cuidados de saúde interagiu com a empresa, a possibilidade de os seus dados estarem incluídos no alegado roubo merece ser levada a sério, mesmo antes de chegarem notificações oficiais.
Eis o que pode fazer agora mesmo:
Monitorize phishing. Os grupos de extorsão que publicam dados roubados vendem-nos ou distribuem-nos frequentemente a outros agentes criminosos. Poderá notar um aumento de e-mails ou mensagens que mencionam as suas condições de saúde, medicamentos ou detalhes pessoais. Trate qualquer contacto não solicitado sobre a sua saúde com um ceticismo redobrado.
Reveja os seus extratos de seguro de saúde. Pedidos fraudulentos usando dados de saúde roubados podem aparecer meses após uma violação. Procure serviços que não recebeu ou prestadores que não visitou.
Verifique notificações oficiais. Dependendo de onde vive, a Novo Nordisk pode ser legalmente obrigada a notificar os indivíduos cujos dados foram afetados. Os organismos reguladores na UE ao abrigo do RGPD e nos EUA ao abrigo da HIPAA (quando aplicável) estabelecem prazos de notificação. Esteja atento a qualquer comunicação oficial da empresa ou das autoridades de saúde competentes.
Utilize credenciais fortes e únicas. Se tiver alguma conta na Novo Nordisk ou num portal de saúde relacionado, altere a sua palavra-passe e ative a autenticação multifator imediatamente.
Considere uma auditoria de privacidade. Este incidente é um bom pretexto para rever que dados partilha com qualquer organização, farmacêutica ou não, e minimizar a partilha desnecessária de dados sempre que possível.
O Padrão Mais Amplo Que Merece Atenção
A Novo Nordisk não é um caso isolado. As principais empresas farmacêuticas e de saúde têm enfrentado uma maré crescente de tentativas de extorsão cibernética e roubo de dados nos últimos anos. Estas organizações detêm enormes volumes de informações sensíveis, muitas vezes distribuídas por cadeias de abastecimento globais complexas, redes de parceiros e sistemas informáticos legados que podem ser difíceis de proteger de forma uniforme.
O que torna este incidente notável é a escala do alegado roubo e o envolvimento de autoridades do que são provavelmente múltiplas jurisdições, dadas as operações globais da Novo Nordisk. O resultado desta investigação provavelmente informará a forma como as empresas congéneres abordam a sua própria postura de segurança de dados.
Para os indivíduos, a principal conclusão é que a proteção da privacidade não pode ser totalmente delegada às organizações que detêm os seus dados. Criar hábitos pessoais em torno da minimização de dados, higiene de credenciais e vigilância contra a engenharia social é cada vez mais essencial, independentemente de se trabalhar em tecnologia ou simplesmente receber cuidados médicos. Mantenha-se atento a atualizações oficiais da Novo Nordisk e dos organismos reguladores relevantes à medida que esta situação continua a evoluir.
