O grupo hacker FulcrumSec diz ter roubado 1,3 terabyte de dados confidenciais da farmacêutica dinamarquesa Novo Nordisk, fabricante do Ozempic e do Wegovy. O ataque ocorreu em março de 2026. A empresa confirmou na última quinta-feira, 11 de junho, acesso não autorizado a sistemas internos e a dados pessoais de participantes de testes clínicos.
Segundo o site especializado DataBreaches.Net, os invasores ficaram nas redes da Novo Nordisk por cerca de dois meses. Nesse período, mapearam e extraíram mais de 700 mil arquivos. O grupo exigiu US$ 25 milhões pela devolução do material. A empresa recusou, e o FulcrumSec passou a considerar a venda dos dados a terceiros.
A Novo Nordisk disse estar em contato com as autoridades competentes e investiga a extensão real do vazamento. A companhia reconheceu acesso indevido a um número limitado de sistemas e a informações pessoais de alguns participantes de ensaios clínicos, mas não confirmou todos os detalhes divulgados pelo grupo.
O que os hackers afirmam ter acessado nos sistemas da Novo Nordisk
O FulcrumSec detalhou, em comunicado, a natureza dos dados supostamente obtidos durante a invasão. O material alegado inclui informações altamente sensíveis do ponto de vista regulatório, comercial e de privacidade.
- Dados de pacientes: informações de 11.500 participantes de testes clínicos, incluindo dados pessoais e médicos.
- Informações de funcionários: registros de milhares de colaboradores da empresa em diferentes países.
- Código-fonte proprietário: arquivos de programação internos utilizados pela Novo Nordisk em seus sistemas.
- Medicamentos não lançados: documentos sobre fármacos em desenvolvimento ou em fase de aprovação regulatória.
- Ensaios clínicos: documentação detalhada de testes realizados com pacientes humanos.
- Modelos de inteligência artificial: estruturas de IA utilizadas internamente pela farmacêutica.
- Instalações de processamento: detalhes sobre infraestrutura física e operacional da companhia.
A combinação de dados clínicos, propriedade intelectual e registros pessoais torna o incidente particularmente grave. vazamento de dados de saúde envolve obrigações regulatórias rígidas em diversas jurisdições, incluindo o GDPR da União Europeia, ao qual a Novo Nordisk, como empresa dinamarquesa, está sujeita.
Quem é o FulcrumSec e qual é o perfil do ataque
O FulcrumSec surgiu em outubro de 2025. O grupo já opera com o padrão dos chamados ataques de double extortion — dupla extorsão: primeiro a infiltração silenciosa, depois a exigência de resgate e, sem pagamento, a ameaça de vender ou publicar os dados roubados. Essa estratégia domina o modus operandi de grupos de ransomware nos últimos anos.
Dois meses dentro das redes da Novo Nordisk sem detecção pública indicam alto nível técnico. Ataques desse tipo, classificados como APT (Advanced Persistent Threats), costumam ser associados a grupos com recursos financeiros e técnicos expressivos, seja de origem criminosa organizada ou com possíveis vínculos estatais. Até agora, não há indicação pública sobre a origem geopolítica do FulcrumSec.
Impacto para pacientes, mercado farmacêutico e reguladores
A exposição de dados de ensaios clínicos vai além da privacidade individual. Informações sobre medicamentos em desenvolvimento podem ser usadas por concorrentes para antecipar estratégias regulatórias, comprometer exclusividade de patentes ou manipular mercados financeiros. A Novo Nordisk é listada na bolsa de Copenhague, e suas ações respondem diretamente a notícias sobre o pipeline de produtos.
No campo regulatório, agências como a Agência Europeia de Medicamentos (EMA) e o FDA americano exigem notificação imediata quando vazamentos envolvem dados de ensaios clínicos. A empresa pode enfrentar investigações formais e multas, especialmente se ficar provado que as medidas de segurança adotadas eram insuficientes para o nível de sensibilidade dos dados armazenados.
“Ataques a empresas farmacêuticas são particularmente preocupantes porque combinam três tipos de dano: à privacidade dos pacientes, à propriedade intelectual corporativa e à integridade da pesquisa científica. A investigação precisa ser conduzida de forma transparente e com cooperação internacional.”
Especialista em cibersegurança, setor de saúde digital
O setor farmacêutico global virou alvo frequente de ataques digitais desde a pandemia de Covid-19, quando laboratórios envolvidos no desenvolvimento de vacinas sofreram tentativas de espionagem documentadas por agências de inteligência dos Estados Unidos, do Reino Unido e da União Europeia. cibersegurança na indústria farmacêutica passou a ser tratada como questão estratégica e de segurança nacional em vários países.
| Dado | Detalhe |
|---|---|
| Volume total roubado | 1,3 terabyte |
| Arquivos mapeados | Mais de 700 mil |
| Pacientes afetados | 11.500 (ensaios clínicos) |
| Resgate exigido | US$ 25 milhões |
| Data do ataque | Março de 2026 |
| Tempo de infiltração | Aproximadamente 2 meses |
| Grupo responsável | FulcrumSec (criado em outubro de 2025) |
Os próximos passos dependem da investigação interna da Novo Nordisk e da resposta das autoridades policiais e regulatórias da Dinamarca e dos países onde os dados dos pacientes foram coletados. Pelo GDPR, a empresa deve notificar individualmente os pacientes afetados e apresentar relatório detalhado às autoridades de proteção de dados. Se o FulcrumSec colocar o material à venda, o caso pode entrar para a lista dos maiores vazamentos da história do setor farmacêutico mundial, com consequências legais, financeiras e científicas ainda difíceis de mensurar.
