Novo Nordisk sotto attacco: cosa sappiamo del furto di dati clinici del giugno 2026

L'11 giugno 2026, Novo Nordisk ha comunicato di aver subito un accesso non autorizzato a una parte limitata dei propri sistemi informatici interni, da cui sono stati sottratti dati non pubblici, incluse informazioni pseudonimizzate di alcuni partecipanti a sperimentazioni cliniche . Se da un lato la notizia ha generato preoccupazione nel comparto farmaceutico, dall'altro l'azienda ha tenuto a precisare che nessun dato identificativo diretto dei pazienti è stato compromesso e che le attività core non hanno subìto interruzioni.

Cosa è successo

L'incidente di sicurezza ha riguardato l'accesso indebito a un numero ristretto di sistemi informatici interni di Novo Nordisk. Dopo aver rilevato l'intrusione, la società ha confermato che gli attaccanti avevano copiato in modo non autorizzato alcuni dati aziendali riservati . Al momento, né il vettore d'attacco né l'identità dei responsabili sono stati resi noti; le indagini sono ancora in corso .

Quali dati dei pazienti sono stati compromessi

Secondo l'aggiornamento ufficiale diffuso dall'azienda, la violazione ha interessato un insieme limitato di dati pseudonimizzati relativi a pazienti coinvolti in alcune sperimentazioni cliniche. Le categorie di informazioni esposte includono :

• Patient ID — una stringa alfanumerica casuale (non il nome) e dettagli sulla partecipazione allo studio
• Sesso
• Anno di nascita
• Biomarcatori
• Dati sanitari e di immunogenicità
• Fattori legati allo stile di vita, come abitudine al fumo, consumo di alcol e indice di massa corporea

L'azienda ha sottolineato che i dati compromessi non sono direttamente collegati ai nomi dei pazienti né ad altri identificatori diretti. Informazioni che consentirebbero un riconoscimento immediato, come nome completo, recapiti o codice fiscale, non sono state oggetto della violazione. In base alle proprie valutazioni, Novo Nordisk ha affermato che l'incidente non permette a terzi di identificare i partecipanti agli studi coinvolti .

La risposta dell'azienda

Novo Nordisk è intervenuta con tempestività non appena scoperta la violazione:

• Indagine esterna: l'azienda ha avviato un'inchiesta con l'ausilio di specialisti di sicurezza informatica ed è in contatto con le autorità competenti .
• Spegnimento precauzionale dei sistemi: diversi sistemi IT interni sono stati temporaneamente disconnessi per circoscrivere l'incidente e salvaguardare l'infrastruttura complessiva, e sono in corso le operazioni di ripristino in condizioni di sicurezza controllata .
• Notifica alle autorità: Novo Nordisk ha informato le autorità regolatorie e quelle preposte all'applicazione della legge .
• Avviso agli interessati: la società sta contattando direttamente le persone eventualmente coinvolte .
• Indicazioni per i pazienti: l'azienda ha comunicato che non è richiesta alcuna azione specifica, pur raccomandando di mantenere un atteggiamento di generale prudenza .

Impatto sulle attività

Novo Nordisk ha dichiarato esplicitamente che le attività core del business non hanno subìto impatti e proseguono regolarmente . L'incidente è stato confinato a un insieme circoscritto di sistemi interni: produzione, supply chain e attività commerciali primarie non hanno registrato alcuna interruzione .

Contesto economico-finanziario

L'attacco informatico si è verificato in una giornata di notizie contrastanti per Novo Nordisk. L'11 giugno 2026, infatti, le autorità regolatorie del Regno Unito hanno approvato la prima pillola orale giornaliera della classe GLP-1 per la perdita di peso messa a punto dall'azienda. Questo sviluppo positivo ha controbilanciato la notizia della violazione, tanto che le azioni Novo Nordisk (quotate con il simbolo NVO) hanno guadagnato fino al 3% nella seduta .

L'episodio sottolinea inoltre la crescente esposizione del settore farmaceutico alle minacce informatiche. Appena qualche settimana prima, il 4 maggio 2026, West Pharmaceutical Services – fornitore chiave per l'industria del farmaco – aveva subito un attacco ransomware globale che ne aveva paralizzato temporaneamente produzione e spedizioni . Su un altro fronte, Novo Nordisk è impegnata in una richiesta di risarcimento danni per 830 milioni di dollari nei confronti di KBP Biosciences, relativa al farmaco candidato Ocedurenone, poi rivelatosi fallimentare: una vicenda che aggiunge ulteriore complessità legale e finanziaria al quadro societario .

L'indagine sull'attacco subito nel giugno 2026 è ancora in corso e Novo Nordisk non ha ancora fornito ulteriori dettagli sugli autori né sull'esatta estensione dell'incidente .