Novo Nordisk постраждала від витоку 1,3 ТБ даних: викрадено інформацію клінічних випробувань

Novo Nordisk, датський фармацевтичний гігант, який стоїть за блокбастерами Ozempic та Wegovy, опинився в серйозній кризі конфіденційності фармацевтичних даних після того, як хакери заявили про викрадення 1,3 терабайта конфіденційних внутрішніх файлів. Угруповання, яке стоїть за атакою, стверджує, що серед викраденого — дані клінічних випробувань та матеріали, пов’язані зі штучним інтелектом, і, як повідомляється, почало публікувати частини викраденого контенту в мережі. Для компанії, яка перебуває в центрі однієї з найбільш комерційно значущих категорій ліків у сучасній медицині, час і масштаб цього витоку порушують важливі питання про те, як навіть найкраще забезпечені ресурсами корпорації світу поводяться з даними пацієнтів та учасників досліджень.

Що було викрадено та що підтвердила Novo Nordisk

Зловмисники стверджують, що викрали 1,3 ТБ даних — обсяг, який вказує на щось значно більше, ніж цілеспрямований наліт. Витік, як повідомляється, містить файли, описані як записи клінічних випробувань та матеріали з розробки ШІ. Дані клінічних випробувань належать до найчутливіших категорій медичної інформації: вони можуть включати історії хвороб учасників, реакції на дозування, записи про побічні явища та ідентифікаційні деталі, які часто є набагато детальнішими, ніж ті, що містяться у стандартній картці пацієнта.

На момент публікації Novo Nordisk публічно не підтвердила повний масштаб витоку та чи були остаточно скомпрометовані дані пацієнтів і учасників випробувань. Це мовчання, хоч і юридично обережне, залишає людям мало можливостей оцінити власний ризик. Рішення хакерів почати активний витік файлів посилює тиск, оскільки витік даних, які потрапляють на кримінальні ринки або відкриті форуми, майже неможливо повернути назад.

Чому велика фармацевтика є високовартісною ціллю для програм-вимагачів

Фармацевтичні компанії стали одними з найпривабливіших цілей у кіберзлочинній екосистемі. Причини виходять за рамки простої опортуністичності. Ці організації володіють унікально щільною комбінацією інтелектуальної власності, регульованих медичних даних та комерційних таємниць, кожна з яких надає зловмисникам різні точки важеля впливу.

Для такої компанії, як Novo Nordisk, яка отримала надзвичайний дохід від агоністів рецепторів GLP-1 та інвестувала значні кошти у відкриття ліків за допомогою ШІ, сховища даних є надзвичайно цінними. Дані клінічних випробувань можна використати для підриву конкурентів, продати державним структурам, зацікавленим у прискоренні власних лікарських програм, або просто використати як важіль при вимозі викупу. Дані для навчання ШІ та ваги моделей, якщо вони є серед викрадених файлів, становлять роки дослідницьких інвестицій, які неможливо просто відновити.

Фармацевтичний сектор також має структурні вразливості. Великі глобальні організації покладаються на складні мережі контрактних дослідницьких організацій, сторонніх обробників даних та академічних партнерів. Кожне з'єднання є потенційною точкою входу. Навіть компанії з потужним внутрішнім захистом можуть бути скомпрометовані через постачальника або партнера зі слабшим захистом.

Як корпоративні витоки ставлять під загрозу особисті медичні дані

Більшість людей, які брали участь у клінічних випробуваннях, пов’язаних з Ozempic або Novo Nordisk, ймовірно, підписували форми згоди та припускали, що їхні дані будуть захищені стандартними етичними рамками досліджень. Що ці рамки рідко чітко повідомляють, так це залишковий ризик, який існує, коли конфіденційні дані безстроково зберігаються на корпоративних серверах, задовго після завершення випробування.

Коли трапляється витік, ці дані не зникають. Вони потрапляють на вторинний ринок, де їх можна комбінувати з іншими витікшими наборами даних — процес, який іноді називають збагаченням даних, — щоб створити детальні профілі осіб, які виходять далеко за межі початково зібраної інформації. Медичні дані особливо довговічні, оскільки стани, лікування та генетичні фактори не змінюються так, як номер кредитної картки.

Це частина ширшої тенденції, за якої персональні дані, одного разу передані корпорації, значною мірою виходять з-під контролю особи. Як показали матеріали про ШІ та рамки державного нагляду, межі між збором даних корпораціями та інституційним доступом стають дедалі більш проникними. Дані, які спочатку з’являються в клінічному випробуванні, можуть за певних правових умов опинитися в контекстах, яких особи ніколи не передбачали.

Витік у Novo Nordisk також висвітлює недооцінений вимір ризику даних ШІ. Якщо серед викрадених файлів були дані для навчання ШІ, це може означати, що поведінкові, біологічні або прогностичні профілі здоров’я, створені на основі реальних вхідних даних пацієнтів, тепер перебувають у невідомих руках. Як досліджувалося в матеріалах про те, як системи ШІ збирають і зберігають персональні дані, масштаб і постійність даних, пов’язаних зі ШІ, створюють ризики, для роботи з якими традиційні рамки повідомлення про витоки ніколи не були розроблені.

Кроки, які можуть зробити користувачі, що піклуються про конфіденційність, коли їхні дані зберігаються на корпоративних серверах

Чесна відповідь полягає в тому, що як тільки ваші дані потрапляють у корпоративну систему, ваш прямий контроль над ними обмежений. Але є осмислені кроки, які зменшують постійний ризик і допомагають вам реагувати, якщо ваша інформація з’явиться у витоку.

Запитуйте видалення даних там, де це дозволено законом. Залежно від вашої юрисдикції, закони про конфіденційність можуть надавати вам право вимагати від компанії видалення ваших персональних даних. GDPR у Європі та різні закони на рівні штатів у Сполучених Штатах надають ці права. Подання офіційного запиту на видалення створює документальний слід і, в деяких випадках, дійсно зменшує обсяг ваших даних, що зберігаються в компанії.

Відстежуйте свої дані в базах даних витоків. Сервіси, які сканують відомі репозиторії витоків, можуть попередити вас, якщо ваша електронна адреса або інші ідентифікатори з’являться у витікших наборах даних. Це не запобігає витоку, але дає вам швидше вікно реагування для зміни облікових даних і повідомлення фінансових установ.

Мінімізуйте те, чим ви ділитеся з корпоративними структурами в майбутньому. Реєструючись у дослідженнях, програмах лояльності або медичних застосунках, уважно перевіряйте, які дані є обов’язковими, а які просто запитуються. Надання мінімуму ідентифікаційної інформації зменшує ваш слід у разі будь-якого майбутнього витоку.

Розумійте, що медичні дані мають довгий хвіст. На відміну від фінансових облікових даних, медична інформація не має терміну дії. Враховуйте, що дані, якими ви ділитеся з будь-якою компанією, пов’язаною зі здоров’ям, сьогодні, все ще можуть зберігатися на сервері через п’ять чи десять років, коли середовище загроз виглядатиме зовсім інакше.

Будьте в курсі того, як системи ШІ використовують ваші дані. Якщо компанія розкриває, що використовує інструменти ШІ у своїх дослідженнях або операціях, це сигнал, що ваші дані можуть потрапляти до систем із власними політиками зберігання та доступу. Ознайомлення з нашим посібником 2026 року щодо захисту конфіденційності від збору даних ШІ є практичною відправною точкою для конкретного розуміння цих ризиків.

Ширша картина

Витік у Novo Nordisk не є ізольованим інцидентом. Це частина задокументованої тенденції, коли фармацевтичні та медичні організації неспроможні належним чином захистити конфіденційні дані, довірені їм пацієнтами та учасниками досліджень. Що робить цей випадок помітним, так це заявлений величезний обсяг даних і той факт, що серед викрадених файлів можуть бути матеріали, пов’язані зі ШІ, що виводить витік на територію, з якою існуючі рамки повідомлення та реагування насилу справляються.

Для окремих осіб висновком є не безпорадність, а поінформований скептицизм. Розуміння того, як і де зберігаються ваші медичні дані, які права ви маєте вимагати їх видалення і як корпоративні витоки перетворюються на особистий ризик, є основою практичної конфіденційності у світі, де ваша найчутливіша інформація регулярно зберігається на чужих серверах. Почніть з доступних вам ресурсів, перевірте свій рівень розкриття даних і зробіть принаймні один конкретний крок цього тижня, щоб зменшити свій слід у системах, які ви не можете контролювати.