El gigante farmacéutico Novo Nordisk ha confirmado haber sufrido un ciberataque que permitió el robo de datos relacionados con participantes en ensayos clínicos. La compañía danesa, conocida mundialmente por medicamentos como Wegovy y Ozempic, asegura que la información afectada estaba seudonimizada y no estaba directamente vinculada a nombres u otros identificadores directos de los pacientes.
Según la empresa, los datos comprometidos incluyen identificadores de paciente, información sobre participación en ensayos clínicos, género, año de nacimiento, biomarcadores, datos de salud e inmunogenicidad, así como factores de estilo de vida como consumo de tabaco, alcohol o índice de masa corporal.
Novo Nordisk insiste en que esta información no permite identificar directamente a los participantes, ya que no se habría expuesto la información necesaria para vincular esos datos con nombres concretos. Aun así, el incidente vuelve a poner el foco en un tipo de información especialmente sensible: los datos sanitarios y de investigación médica.
Datos seudonimizados, pero sensibles
La compañía ha explicado que los datos afectados estaban seudonimizados. Esto significa que no aparecían directamente asociados al nombre de una persona, pero seguían relacionados con participantes concretos mediante identificadores internos.
La diferencia es importante. La seudonimización reduce el riesgo de identificación directa, pero no elimina por completo la sensibilidad de los datos. Información como biomarcadores, participación en ensayos, datos inmunológicos, hábitos de vida o índice de masa corporal puede tener un valor elevado si se combina con otras fuentes.
Novo Nordisk sostiene que, para identificar a los pacientes, sería necesario acceder a información adicional que no fue expuesta durante el incidente. Por ello, la empresa afirma que no considera que el ciberataque permita a terceros identificar a los participantes en sus ensayos clínicos.
No obstante, la farmacéutica ha pedido a los pacientes que permanezcan atentos ante cualquier actividad sospechosa que pudiera estar relacionada con los datos robados.
Sistemas internos desconectados como precaución
El ciberataque afectó a un “número limitado” de sistemas internos de TI, según la compañía. Como medida de precaución, Novo Nordisk desconectó algunos de esos sistemas mientras avanza la investigación.
La empresa ha señalado que podría tardar en restablecer por completo los servicios afectados, ya que quiere hacerlo de forma controlada y segura. También ha recurrido a expertos externos para analizar el alcance del incidente, determinar qué información fue comprometida y evaluar las posibles consecuencias.
Por ahora, Novo Nordisk no ha confirmado la escala total de la brecha ni cuántas personas podrían estar afectadas. La compañía asegura que dará más detalles cuando los especialistas hayan completado una evaluación más precisa del impacto.
Riesgo de phishing contra profesionales sanitarios
El incidente no afecta solo a participantes en ensayos clínicos. En una carta enviada a sus socios sanitarios, la farmacéutica reconoce que también pudo verse comprometida información personal de profesionales de la salud.
Entre los datos potencialmente expuestos figuran nombres, números de registro, direcciones de correo electrónico, teléfonos, datos de WhatsApp y ubicaciones de oficinas. Esta información puede utilizarse para ataques de phishing más dirigidos y convincentes.
Novo Nordisk ha advertido de que las consecuencias del incidente podrían incluir intentos de fraude mediante correos electrónicos, llamadas telefónicas o mensajes de WhatsApp que suplanten a compañeros, contactos profesionales o representantes legítimos de la compañía.
Este tipo de riesgo es especialmente relevante en el sector sanitario, donde los atacantes pueden utilizar información real para construir mensajes creíbles. Un correo que mencione datos profesionales, ubicaciones o contactos concretos puede resultar más difícil de detectar como fraudulento.
Sin impacto en las operaciones principales
A pesar del incidente, Novo Nordisk asegura que sus operaciones principales continúan funcionando con normalidad. La compañía afirma que el ciberataque no ha afectado a su actividad esencial ni a la comercialización de sus productos.
El anuncio llega en un momento de gran visibilidad para la empresa. Ese mismo día, su comprimido de semaglutida para pérdida de peso y diabetes recibió autorización para convertirse en la primera tableta diaria GLP-1 aprobada en Reino Unido. El medicamento se suma a otros tratamientos de control de peso basados en agonistas del receptor GLP-1, como Wegovy y Ozempic, también desarrollados por Novo Nordisk.
La farmacéutica cuenta con unos 67.900 empleados en 80 países y comercializa sus productos en prácticamente todo el mundo, lo que convierte cualquier incidente de seguridad en un asunto de alcance internacional.
