ノボノルディスクのハッカー、2500万ドルの恐喝失敗後に1.3TBのデータを盗む

サイバー恐喝グループFulcrumSecは、デンマークの製薬大手ノボノルディスクが2500万ドルの身代金の支払いを拒否した後、1テラバイトを超えるデータを盗み出したと、同グループが火曜日に発表した。

「このインシデントは、当社の一部の臨床試験に参加した患者に関連する限定的な情報に影響を及ぼしました」とノボノルディスクは6月11日の侵害通知で述べている。同社は、盗まれたデータは仮名化されており、氏名やその他の直接的な識別子によって患者に直接結びつけることはできないと説明した。

2025年10月に出現したグループであるFulcrumSecは、3月にGitHubアクセストークンを介してアクセスを取得した後、2か月以上にわたってノボノルディスクのネットワーク内部に潜伏していたと述べている。同グループは、70万ファイル以上に及ぶ約1.3テラバイトのデータを盗んだと、6月14日に同グループの主張を最初に報じたDataBreaches.netは伝えている。盗まれたデータには、企業のソースコード、発売済みおよび未発売の医薬品に関する独自情報、臨床試験データ、内部AIモデル情報、企業の生産施設に関連するデータが含まれる。

流出した患者データには、ランダムに割り当てられたID番号、性別、生年、バイオマーカー、健康および免疫原性データ、BMI、喫煙状況、アルコール使用などのライフスタイル要因が含まれていた。ノボノルディスクは、患者の氏名は流出していないと述べている。医療提供者は、会社名、登録番号、電子メールアドレス、電話番号、オフィスの所在地、WhatsAppの詳細が漏洩し、フィッシングやソーシャルエンジニアリング攻撃のリスクにさらされている。

FulcrumSecを詳細に追跡してきたサイバーセキュリティ企業Lab-1の調査責任者トーマス・ウィルカン氏は、このハッキンググループは「通常、その能力と主張の両方において極めて信頼性が高い」と述べている。

FulcrumSecは、いわゆる「被害軽減戦略」の一環として、数千人の従業員、医師、および約11,500人の仮名化された臨床試験患者に関するデータを公開しないと述べた。同グループはまた、ノボノルディスクの生産施設におけるセンサーや機械に関する運用技術データも公開しないとしている。現在、同グループは、特定の医薬品やその他の内部情報に関連する盗難データの一部を非公開で販売することを模索している。

ノボノルディスクは、今回のサイバー攻撃は中核事業の運営に影響を及ぼしておらず、事業は引き続き稼働していると述べた。フォレンジック調査とデータレビューは進行中であり、同社は影響を受けた個人の数をまだ確定していない。今回のインシデントは、貴重な知的財産とともに機密性の高い臨床データや患者データを保有する製薬企業に対する脅威の高まりを浮き彫りにしている。投資家は、GDPRやHIPAA当局による規制措置、および影響を受けた医療提供者からの潜在的な訴訟を注視することになる。

本記事は情報提供のみを目的としており、投資助言を構成するものではありません。