Novo Nordisk sufre un ciberataque que expone datos seudonimizados de ensayos clínicos en junio de 2026

¿Qué datos de pacientes se vieron comprometidos?

Según la actualización oficial del incidente publicada por la propia compañía, la brecha afectó a una cantidad limitada de datos seudonimizados de personas que participaban en algunos de sus estudios clínicos. Las categorías de datos expuestos incluyen :

• ID del paciente: una cadena alfanumérica aleatoria, no un nombre, junto con información sobre su participación en el investigación.
• Sexo.
• Año de nacimiento.
• Biomarcadores.
• Datos de salud e inmunogenicidad.
• Factores de estilo de vida, como el consumo de tabaco y alcohol o el índice de masa corporal.

Novo Nordisk insistió en que esta información no está vinculada de forma directa con ningún paciente mediante nombre u otros identificadores. No se expusieron, por tanto, datos que permitieran una identificación directa, como nombres y apellidos completos, información de contacto o números de identificación nacional. Según su evaluación, el incidente no permite a ningún tercero identificar a los participantes afectados .

La respuesta de la compañía

Nada más detectar la brecha, la empresa tomó una serie de medidas inmediatas:

• Investigación externa: Se inició una pesquisa con la asistencia de expertos externos en ciberseguridad y se está colaborando con las autoridades competentes .
• Apagado preventivo de sistemas: Varios sistemas informáticos internos fueron desconectados temporalmente para contener el incidente y proteger el resto del entorno digital. La firma trabaja ahora para restaurarlos de manera controlada y segura .
• Contacto con reguladores y fuerzas de seguridad: La farmacéutica está en comunicación con los organismos reguladores y las autoridades policiales pertinentes .
• Notificación a los afectados: La empresa se está poniendo en contacto con las personas impactadas, según corresponda .
• Recomendaciones a pacientes: Novo Nordisk ha comunicado a los pacientes que no es necesario tomar ninguna medida concreta, aunque recomienda mantenerse alerta de forma general .

Impacto en las operaciones

La compañía fue tajante al afirmar que las operaciones centrales del negocio no se han visto afectadas y continúan funcionando con normalidad . El incidente quedó confinado a un grupo limitado de sistemas de TI internos, y tanto la producción principal, como la cadena de suministro y las actividades comerciales siguieron adelante sin interrupción .

Contexto empresarial más amplio

El ciberataque se conoció en una jornada de noticias contrapuestas para Novo Nordisk. Ese mismo 11 de junio de 2026, los reguladores del Reino Unido aprobaron la primera píldora diaria oral GLP-1 para adelgazar de la compañía. Este impulso positivo ayudó a contrarrestar la noticia negativa de la brecha de seguridad, y las acciones de Novo Nordisk (NVO) llegaron a subir hasta un 3% durante la sesión .

El ataque también pone de relieve la creciente amenaza de la ciberseguridad en la industria farmacéutica. Tan solo unas semanas antes, el 4 de mayo de 2026, West Pharmaceutical Services —un proveedor clave para los fabricantes de medicamentos— sufrió un ataque global de ransomware que interrumpió sus operaciones de fabricación y envío . Por si fuera poco, Novo Nordisk está tramitando de forma paralela una reclamación por daños y perjuicios de 830 millones de dólares contra KBP Biosciences por el fallido candidato a fármaco Ocedurenone, lo que añade una capa adicional de complejidad legal y financiera a su panorama .

La investigación sobre la brecha de seguridad de junio de 2026 sigue en curso y Novo Nordisk no ha facilitado detalles adicionales sobre los atacantes ni el alcance total del incidente .