Novo Nordisk hatte den Vorfall Ende vergangener Woche öffentlich gemacht. Der Pharmakonzern erklärte, Hacker hätten interne IT-Systeme kompromittiert und bestimmte Daten zu klinischen Studien abgezogen. Das Unternehmen betonte zugleich, dass die entwendeten Informationen pseudonymisiert gewesen seien und sich nicht direkt mit Namen oder anderen Kennzeichen einzelnen Patienten zuordnen ließen.

Wörtlich erklärte Novo Nordisk, für die Kenntnis der Patientenidentität wäre der Zugriff auf weitere Informationen erforderlich gewesen, die nicht Teil des Vorfalls waren. Damit grenzte der Konzern den Umfang der kompromittierten Patientendaten ein, machte aber zugleich klar, dass Daten aus dem klinischen Umfeld betroffen sind.

Laut SecurityWeek hatte sich zunächst keine bekannte Cybercrime-Gruppe öffentlich zu dem Angriff bekannt. Inzwischen kontaktierte FulcrumSec das Portal DataBreaches und reklamierte die Attacke für sich. Die Gruppe gibt an, Novo Nordisk im März über ein GitHub-Zugriffstoken kompromittiert zu haben. Dieses habe es ermöglicht, Repositorys von Novo Nordisk zu klonen und weitere Zugangsdaten zu finden.

FulcrumSec behauptet, dabei etwa 1,3 Terabyte an Daten vom Unternehmen entwendet zu haben. Als Beleg lieferte die Gruppe nach eigenen Angaben eine Liste mit mehr als 700.000 Dateien. Zudem übermittelte sie detaillierte Angaben zu den angeblich gestohlenen Datentypen.

Dazu sollen laut FulcrumSec auch geistiges Eigentum und interne Forschungsdaten gehören, darunter nicht offengelegte Arzneimittelprogramme, proprietäre Wirkstoffstrukturen, die Dicerna-RNAi-Pipeline, private KI-Modelle und weitere Daten. Ob diese Angaben vollständig zutreffen, geht aus dem Bericht nicht hervor; sie stammen aus den Behauptungen der Gruppe gegenüber DataBreaches.

FulcrumSec legte dem Bericht zufolge außerdem Teile seiner Korrespondenz mit Novo Nordisk vor. Darin enthalten gewesen seien gestohlene Zugangsdaten als Besitznachweis. Die Gruppe forderte 25 Millionen US-Dollar Lösegeld. Dieser Erpressungsversuch sei jedoch gescheitert, weshalb FulcrumSec nun mit der Veröffentlichung der entwendeten Daten drohe.

Zum Zeitpunkt der Veröffentlichung war Novo Nordisk allerdings noch nicht auf der Tor-basierten Leak-Seite von FulcrumSec gelistet. Damit ist zwar die Drohung öffentlich, eine Veröffentlichung auf der Plattform der Gruppe war zu diesem Zeitpunkt aber noch nicht erfolgt.