**Novo Nordisk, fabricante de Ozempic, confirma brecha de ciberseguridad con exposición de datos personales**
—
### 1. Introducción
En las últimas horas, Novo Nordisk, la multinacional farmacéutica conocida por fármacos como Ozempic, ha confirmado un incidente de ciberseguridad que ha comprometido la integridad de sus sistemas informáticos. La compañía ha reconocido que los atacantes lograron acceder a datos personales almacenados en sus infraestructuras comprometidas, lo que eleva la preocupación sobre la seguridad de la información sensible en el sector farmacéutico y la protección de la propiedad intelectual.
—
### 2. Contexto del Incidente
El ataque fue detectado en los sistemas internos de Novo Nordisk tras una revisión rutinaria de seguridad. La compañía, con sede en Dinamarca y operaciones en más de 80 países, gestiona grandes volúmenes de datos personales y clínicos, lo que la convierte en un objetivo de alto valor para actores de amenazas avanzadas (APT), ciberdelincuentes y grupos de ransomware.
La brecha se produce en un momento crítico para la industria farmacéutica, que ha visto incrementarse los ciberataques en los últimos años, especialmente tras la aceleración de la digitalización y el teletrabajo derivados de la pandemia de COVID-19. Según el informe de IBM X-Force Threat Intelligence Index 2024, el sector sanitario y farmacéutico ha experimentado un aumento del 37% en ataques dirigidos respecto al año anterior.
—
### 3. Detalles Técnicos
Aunque Novo Nordisk no ha divulgado públicamente detalles exhaustivos sobre los vectores de ataque, fuentes internas y expertos en ciberseguridad apuntan a la posible explotación de vulnerabilidades conocidas en sistemas Windows y servidores de correo electrónico, potencialmente a través de campañas de phishing dirigidas (spear phishing) o mediante la explotación de vulnerabilidades como CVE-2023-23397 (Microsoft Outlook) y CVE-2023-28252 (Win32k).
Los atacantes podrían haber empleado técnicas de movimiento lateral y escalada de privilegios, siguiendo tácticas y técnicas del framework MITRE ATT&CK, como el uso de credenciales robadas (T1078) y la explotación de servicios remotos (T1021). No se descarta la utilización de herramientas post-explotación como Cobalt Strike o Metasploit para mantener la persistencia y exfiltrar datos.
Los Indicadores de Compromiso (IoC) identificados incluyen conexiones remotas no autorizadas, creación de cuentas de usuario sospechosas y transferencia masiva de archivos fuera del horario laboral habitual. Según fuentes del sector, no se ha confirmado, de momento, la publicación de exploits públicos específicos para la infraestructura concreta de Novo Nordisk, aunque la amenaza de filtración de datos permanece latente.
—
### 4. Impacto y Riesgos
El impacto potencial de la brecha es significativo. La exposición de datos personales podría afectar tanto a empleados como a pacientes y partners comerciales. Si los datos comprometidos incluyen información de ensayos clínicos, propiedad intelectual o detalles regulatorios, las consecuencias podrían ser devastadoras, tanto a nivel económico como reputacional.
Desde la perspectiva de cumplimiento normativo, la filtración de datos personales supone un posible incumplimiento del Reglamento General de Protección de Datos (GDPR), lo que expone a Novo Nordisk a investigaciones regulatorias y sanciones que pueden superar los 20 millones de euros o el 4% de la facturación anual global.
Además, la posible interrupción operativa podría afectar a la cadena de suministro de medicamentos críticos como Ozempic, con impactos en el mercado y en la salud pública.
—
### 5. Medidas de Mitigación y Recomendaciones
Tras el incidente, Novo Nordisk ha activado su protocolo de respuesta a incidentes, incluyendo:
– Aislamiento inmediato de los sistemas afectados y revisión de logs para identificar la extensión de la intrusión.
– Reseteo de credenciales y endurecimiento de políticas de acceso.
– Despliegue de EDR (Endpoint Detection and Response) y monitorización avanzada de anomalías.
– Colaboración estrecha con autoridades regulatorias y cuerpos de seguridad.
– Notificación a las personas potencialmente afectadas, en línea con las obligaciones del GDPR.
Para el resto de organizaciones del sector, se recomienda:
– Actualización inmediata de todos los sistemas y aplicaciones, priorizando parches críticos.
– Realización de simulacros de phishing y formación continua de empleados.
– Implementación de segmentación de red y políticas de privilegios mínimos.
– Revisión de backups y validación de su integridad.
– Reforzamiento de la monitorización proactiva de amenazas y de los planes de respuesta ante incidentes.
—
### 6. Opinión de Expertos
Analistas del sector, como los de la European Union Agency for Cybersecurity (ENISA), advierten que los ataques a la industria farmacéutica suelen estar motivados por el robo de propiedad intelectual y datos sensibles de pacientes, y que el uso de ransomware como doble extorsión —en el que los datos robados se publican si no se paga el rescate— es una tendencia al alza.
Según Rafael García, CISO de una multinacional del sector, “la sofisticación de los ataques y la falta de segmentación interna siguen siendo las principales debilidades en infraestructuras críticas como las farmacéuticas”.
—
### 7. Implicaciones para Empresas y Usuarios
Para las empresas, el incidente subraya la importancia de la ciberresiliencia, la alineación con marcos regulatorios como NIS2 y el refuerzo de la seguridad en toda la cadena de suministro. Los usuarios y pacientes deben ser especialmente cautelosos ante posibles campañas de phishing dirigidas que puedan aprovechar datos filtrados para ataques personalizados.
El incidente también podría desencadenar revisiones regulatorias más estrictas y un aumento de las auditorías de ciberseguridad en el sector.
—
### 8. Conclusiones
El ataque a Novo Nordisk pone de manifiesto la vulnerabilidad de la industria farmacéutica ante amenazas avanzadas, la necesidad de estrategias de defensa en profundidad y el cumplimiento riguroso de las normativas de protección de datos. La colaboración entre empresas, organismos reguladores y expertos en ciberseguridad será crucial para mitigar los riesgos y proteger los datos críticos en un entorno cada vez más hostil.
(Fuente: www.securityweek.com)