Novo Nordisk遭駭客竊取1.3TB數據，2500萬美元勒索未果

網路勒索組織FulcrumSec週二表示，在丹麥製藥巨頭Novo Nordisk拒絕支付2500萬美元贖金後，該組織已竊取超過1TB的數據。

「此事件影響了我們部分臨床試驗參與者的少量資訊，」Novo Nordisk在6月11日的違規通知中表示。該公司指出，被竊取的數據經過假名化處理，無法直接透過姓名或其他直接識別碼與患者關聯。

FulcrumSec是一個於2025年10月浮出水面的組織，該組織表示，他們在3月透過一個GitHub存取權杖獲得入侵權限後，在Novo Nordisk的網路內潛伏了兩個多月。據DataBreaches.net報導，該組織竊取了大約1.3TB的數據，橫跨超過70萬個檔案，該媒體於6月14日率先報導了該組織的說法。被竊數據包括公司原始碼、已上市及未上市藥物的專有資訊、臨床試驗數據、內部AI模型訊息，以及與公司生產設施相關的數據。

暴露的患者數據包括隨機分配的ID號碼、性別、出生年份、生物標記、健康與免疫原性數據，以及BMI、吸菸狀況和飲酒習慣等生活型態因子。Novo Nordisk表示，患者姓名並未曝光。醫療保健提供者的公司名稱、註冊號碼、電子郵件地址、電話號碼、辦公室地點及WhatsApp詳細資訊遭到洩露，使他們面臨釣魚攻擊或社交工程攻擊的風險。

網路安全公司Lab-1的研究主管Thomas Willkan密切追蹤FulcrumSec，他表示該駭客組織「通常在其能力及所宣稱的事蹟方面相當可信。」

FulcrumSec表示，作為其所謂的「降低傷害策略」的一部分，該組織不會分享數千名公司員工、醫師或約11,500名假名化臨床試驗患者的數據。該組織還表示，將保留與Novo Nordisk生產設施中傳感器和機械相關的營運技術數據。該組織目前正在探索私下出售部分與特定藥物及其他內部資訊相關的被竊數據。

Novo Nordisk表示，此次網路攻擊對其核心業務營運並未造成影響，營運仍正常進行。法醫調查與數據審查仍在持續進行，該公司尚未確定受影響人數。此事件凸顯了製藥公司面臨的日益嚴重威脅，這些公司持有寶貴的智慧財產權以及敏感的臨床和患者數據。投資者將關注GDPR或HIPAA監管機構是否採取任何監管行動，以及受影響醫療保健提供者可能提起的訴訟。

本文僅供資訊參考，不構成投資建議。