Nach Informationen, die FulcrumSec mit DataBreaches.Net geteilt hat, sollen sich die Angreifer mehr als zwei Monate im Netzwerk von Novo Nordisk bewegt und vor einer Lösegeldforderung über 700.000 Dateien mit insgesamt rund 1,3 Terabyte Daten exfiltriert haben. Die Forderung habe bei 25 Millionen US-Dollar gelegen.
Zu den nach Darstellung der Gruppe entwendeten Informationen gehörten Quellcode, vertrauliche Angaben zu bereits vermarkteten und noch nicht veröffentlichten Medikamenten, Daten aus klinischen Studien und der Forschung, interne KI-Modelle, Unterlagen zu Fertigungsabläufen und Produktionstechnologie, Datensätze zu medizinischen Fachkräften sowie Informationen zu etwa 11.500 pseudonymisierten Teilnehmern klinischer Studien. Nachdem Novo Nordisk die Forderung dem Anschein nach nicht bezahlt habe, habe FulcrumSec begonnen, einen Teil der angeblich erbeuteten Daten öffentlich zu leaken. DataBreaches.Net schrieb dazu, FulcrumSec gehe davon aus, dass die exfiltrierten Daten und die KI-gestützte Analyse anderen Forschern oder Wettbewerbern drei bis fünf Jahre Programmentwicklung ersparen könnten.
FulcrumSec zufolge begann der Zugriff im März über einen offengelegten, hoch privilegierten „GitHub personal access token“ in clientseitigem JavaScript auf einer wenig bekannten Subdomain. Nach dieser Darstellung nutzten die Angreifer den Token, um private Repositories zu klonen und weitere Zugangsdaten einzusammeln. Diese seien anschließend verwendet worden, um tiefer in Netzwerk und Systeme von Novo Nordisk vorzudringen.
Novo Nordisk hat den Umfang des Vorfalls bislang nicht öffentlich bestätigt. Auf eine Anfrage von Dark Reading reagierte das Unternehmen weder zu dem Vorfall, den FulcrumSec für sich reklamiert, noch zu einem zweiten, separaten Eindringen einer Gruppe namens TheUSERS007. In der Korrespondenz mit DataBreaches.Net legte TheUSERS007 Informationen vor, die laut Bericht darauf hindeuten, dass die Gruppe Novo Nordisk zwischen dem 5. und 7. Juni kompromittiert und Daten zu den KI-bezogenen Aktivitäten des Unternehmens gestohlen habe.
Matt Kimpel, CISO des Managed-Service-Providers Magna5, sieht in den Schilderungen des Falls ein weiteres Beispiel dafür, dass Entwickler und Entwicklungsumgebungen zu hochwertigen Zielen geworden sind. Entwickler säßen nah an den wichtigsten Systemen, sagte er: Sie verfügten dauerhaft über Zugriff auf Quellcode, Build- und Deployment-Pipelines, Cloud-Umgebungen und die Zugangsdaten, mit denen diese Systeme miteinander kommunizieren.
Kimpel betont, dass Entwicklungsplattformen längst zu den wertvollsten Systemen im Unternehmen gehörten, viele Sicherheitsprogramme aber nicht Schritt gehalten hätten. Ein Quellcode-Repository sei heute nicht mehr nur ein Speicherort für Code, sondern enthalte auch Infrastrukturdefinitionen, Deployment-Pipelines, Integrationen mit nachgelagerten Systemen und Dokumentation darüber, wie die Umgebung zusammengesetzt ist. Für Angreifer sei der Zugang zu einem Repository daher eher mit dem Zugriff auf Baupläne als auf einen Aktenschrank vergleichbar.
Auch Shane Barney, CISO bei Keeper Security, bezeichnet Code-Repositories als einen der folgenreichsten blinden Flecken in der Unternehmenssicherheit. Fest eincodierte Zugangsdaten, eingecheckte Tokens und falsch zugeschnittene Zugriffsschlüssel sammelten sich häufig unbemerkt über Repositories, CI/CD-Pipelines und Konfigurationsdateien an. Anders als menschliche Konten hätten diese maschinellen Zugangsdaten oft keine klaren Eigentümer, keine konsequenten Rotationszyklen und kaum Überwachung. Genau diese Unsichtbarkeit mache aus einem einzigen offengelegten Token einen monatelangen Einbruch.
Ed Luz, Forschungsleiter bei Oasis Security Identity, verweist auf zwei entscheidende Punkte des Novo-Nordisk-Vorfalls: den Einstieg über einen einzelnen GitHub-Zugangstoken und die seitliche Bewegung mithilfe weiterer Zugangsdaten, die in den Repositories selbst lagen. Die Angreifer hätten den Perimeter nicht durchbrochen, sondern authentifiziert gehandelt.