Novo Nordisk zufolge wurde der unbefugte Zugriff erst vor kurzem entdeckt. Betroffen war demnach nur eine begrenzte Anzahl interner IT-Systeme. Das Unternehmen teilte mit, dass sich darunter auch Systeme befanden, auf denen personenbezogene Daten gespeichert waren.
Nach Angaben von Novo Nordisk umfasst der Vorfall eine begrenzte Menge an Informationen zu Patienten aus einigen klinischen Studien. Das Unternehmen erklärte dazu, die betroffenen Daten seien nicht direkt mit Namen oder anderen direkten Identifikatoren verknüpft. Um eine Identität herzustellen, wäre demnach zusätzlicher Zugriff auf zugrunde liegende Informationen nötig, die Patienten namentlich zuordnen. Genau diese Informationen seien nicht offengelegt worden.
Patienten wurden laut Novo Nordisk darüber informiert, welche Arten personenbezogener Daten betroffen sein können. Genannt werden eine zufällig vergebene Patienten-ID, Angaben zur Teilnahme an Studien, Geschlecht, Geburtsjahr, Biomarker, Gesundheits- oder Immunogenitätsdaten sowie Lebensstilfaktoren.
Auch Gesundheitsdienstleister wurden benachrichtigt. Bei ihnen könnten nach Unternehmensangaben Namen, Registrierungsnummern, E-Mail-Adressen, Telefonnummern, WhatsApp-Angaben und Praxisstandorte infolge des Angriffs kompromittiert worden sein.
Wer hinter dem Angriff steckt, ist weiter unklar. Dem Bericht zufolge hat bislang keine bekannte cyberkriminelle Gruppe die Tat für sich reklamiert.
Novo Nordisk ist ein dänisches Pharmaunternehmen, das insbesondere durch Behandlungen für Diabetes und Gewichtsmanagement bekannt ist. Im Quelltext werden unter anderem Ozempic, Wegovy, Rybelsus, Victoza und Saxenda genannt.