Token vazado no GitHub teria exposto a fórmula exata do Ozempic na Novo Nordisk

O ataque à Novo Nordisk não é uma anomalia, é o ápice de um padrão que já havíamos mapeado em quatro incidentes distintos só neste semestre. Em maio, a Grafana sofreu exatamente o mesmo vetor: um único GitHub PAT roubado permitiu download completo do codebase e exigência de resgate. No mesmo dia, o GitHub confirmou sua própria invasão via extensão maliciosa do VS Code, expondo 3.800 repositórios internos, prova de que até plataformas de desenvolvimento sofrem com a mesma falha estrutural: tokens com escopo amplo, sem expiração, sem restrição geográfica ou por IP, e sem monitoramento de comportamento anômalo.

A novidade técnica aqui não está no método, mas na consequência: pela primeira vez, um token roubado levou diretamente à exposição da fórmula exata de um medicamento comercializado globalmente. Isso transforma o vazamento de código-fonte em ameaça à saúde pública. Diferente de dados de login ou CPFs, a fórmula do Ozempic não pode ser 'resetada'. Ela é imutável, replicável e passível de falsificação industrial, e os 11.500 registros clínicos vinculados a nomes reais amplificam o risco de chantagem médica e discriminação por seguradoras.

Em abril, a CISA teve chaves AWS expostas em repositório público, erro humano, mas visível. Em maio, o GitHub foi invadido por extensão maliciosa, falha de cadeia de suprimento. Agora, em junho, o ataque à Novo Nordisk mostra que o problema evoluiu para operacionalização silenciosa: dois meses de dwell time, clonagem discreta de centenas de repositórios e exfiltração de 1,3 TB sem alerta. Isso não é mais 'vazamento acidental', é exploração sistemática de ambientes onde tokens são tratados como descartáveis, não como credenciais críticas. A cobertura anterior mostrava falhas pontuais; este caso revela a ausência de defesa em profundidade em pipelines de farmacêuticas que lidam com IP regulado.

Quando um token do GitHub vaza, o dano não se limita ao código-fonte. Na Novo Nordisk, ele abriu caminho para dados clínicos, fórmulas registradas, modelos de IA treinados com dados sensíveis e até especificações de instalações industriais. Isso significa que um único ponto fraco, um PAT com permissão repo, pode contornar firewalls, MFA em sistemas de RH e até controles de acesso físico a laboratórios. Para empresas sob regulação da ANVISA, FDA ou EMA, isso representa risco de sanções, suspensão de ensaios clínicos e perda de patentes. Não é só um incidente de TI: é uma falha de governança de ativos intangíveis críticos.