Novo Nordisk sufre un ciberataque que expone datos seudonimizados de ensayos clínicos en junio de 2026

El 11 de junio de 2026, el laboratorio danés Novo Nordisk reveló que un ciberataque había comprometido un número limitado de sus sistemas informáticos internos, resultando en la filtración de datos seudonimizados de algunos participantes en sus ensayos clínicos . Aunque el suceso encendió las alarmas en el sector farmacéutico, la empresa subrayó que no se expusieron identificadores directos de pacientes y que su actividad principal continuó sin interrupciones.

¿Qué ocurrió exactamente?

El incidente de seguridad consistió en un acceso no autorizado a un conjunto limitado de sistemas internos de tecnología de la información (TI). Una vez detectado, la compañía confirmó que los atacantes habían copiado ciertos datos no públicos sin autorización, extrayéndolos al exterior . Novo Nordisk no ha revelado por el momento el método de ataque ni la identidad de los responsables, y la investigación sigue en curso .

¿Qué datos de pacientes se vieron comprometidos?

Según la actualización oficial del incidente publicada por la propia compañía, la brecha afectó a una cantidad limitada de datos seudonimizados de personas que participaban en algunos de sus estudios clínicos. Las categorías de datos expuestos incluyen :

• ID del paciente: una cadena alfanumérica aleatoria, no un nombre, junto con información sobre su participación en el investigación.
• Sexo.
• Año de nacimiento.
• Biomarcadores.
• Datos de salud e inmunogenicidad.
• Factores de estilo de vida, como el consumo de tabaco y alcohol o el índice de masa corporal.

Novo Nordisk insistió en que esta información no está vinculada de forma directa con ningún paciente mediante nombre u otros identificadores. No se expusieron, por tanto, datos que permitieran una identificación directa, como nombres y apellidos completos, información de contacto o números de identificación nacional. Según su evaluación, el incidente no permite a ningún tercero identificar a los participantes afectados .

La respuesta de la compañía

Nada más detectar la brecha, la empresa tomó una serie de medidas inmediatas:

• Investigación externa: Se inició una pesquisa con la asistencia de expertos externos en ciberseguridad y se está colaborando con las autoridades competentes .
• Apagado preventivo de sistemas: Varios sistemas informáticos internos fueron desconectados temporalmente para contener el incidente y proteger el resto del entorno digital. La firma trabaja ahora para restaurarlos de manera controlada y segura .
• Contacto con reguladores y fuerzas de seguridad: La farmacéutica está en comunicación con los organismos reguladores y las autoridades policiales pertinentes .
• Notificación a los afectados: La empresa se está poniendo en contacto con las personas impactadas, según corresponda .
• Recomendaciones a pacientes: Novo Nordisk ha comunicado a los pacientes que no es necesario tomar ninguna medida concreta, aunque recomienda mantenerse alerta de forma general .

Impacto en las operaciones

La compañía fue tajante al afirmar que las operaciones centrales del negocio no se han visto afectadas y continúan funcionando con normalidad . El incidente quedó confinado a un grupo limitado de sistemas de TI internos, y tanto la producción principal, como la cadena de suministro y las actividades comerciales siguieron adelante sin interrupción .

Contexto empresarial más amplio

El ciberataque se conoció en una jornada de noticias contrapuestas para Novo Nordisk. Ese mismo 11 de junio de 2026, los reguladores del Reino Unido aprobaron la primera píldora diaria oral GLP-1 para adelgazar de la compañía. Este impulso positivo ayudó a contrarrestar la noticia negativa de la brecha de seguridad, y las acciones de Novo Nordisk (NVO) llegaron a subir hasta un 3% durante la sesión .

El ataque también pone de relieve la creciente amenaza de la ciberseguridad en la industria farmacéutica. Tan solo unas semanas antes, el 4 de mayo de 2026, West Pharmaceutical Services —un proveedor clave para los fabricantes de medicamentos— sufrió un ataque global de ransomware que interrumpió sus operaciones de fabricación y envío . Por si fuera poco, Novo Nordisk está tramitando de forma paralela una reclamación por daños y perjuicios de 830 millones de dólares contra KBP Biosciences por el fallido candidato a fármaco Ocedurenone, lo que añade una capa adicional de complejidad legal y financiera a su panorama .

La investigación sobre la brecha de seguridad de junio de 2026 sigue en curso y Novo Nordisk no ha facilitado detalles adicionales sobre los atacantes ni el alcance total del incidente .