Novo Nordisk reporta ataque cibernético e roubo de dados de ensaios clínicos

A Novo Nordisk foi atacada entre 11 e 15 de junho de 2026, período crítico, logo antes da aprovação do primeiro comprimido diário de semaglutida no Reino Unido. O invasor acessou dados de ensaios clínicos pseudonimizados, mas o risco real está nos dados dos profissionais de saúde (HCPs), que foram expostos em forma identificável: nomes, números de registro, e-mails, WhatsApp e até endereços de consultórios. Isso não é só um vazamento de dados, é um kit completo para ataques de engenharia social direcionados.

O ataque explora uma falha comum em farmacêuticas: a separação técnica entre dados clínicos (protegidos por pseudonimização) e dados operacionais de HCPs (geralmente mal segmentados e com menos controles). A empresa já desligou sistemas internos, mas não revelou qual camada de rede foi comprometida, se foi um ambiente de pesquisa clínica, um portal de colaboradores ou um sistema de gestão de parceiros. Sem isso, o grau real de exposição permanece opaco.

Ensaios clínicos são alvos estratégicos: dados biométricos e de estilo de vida têm valor para chantagem, seguros privados e até vigilância estatal. Mas o maior dano aqui é operacional, phishing direcionado a médicos pode levar a falsos pedidos de prescrição, redirecionamento de receitas ou até infecção de sistemas hospitalares via e-mail corporativo. A Novo Nordisk não sofreu impacto na produção, mas o dano à confiança de pesquisadores e centros de estudo pode atrasar recrutamento de novos ensaios por meses.