Aktéři — klepněte pro kontext
Novo Nordisk
Dánský farmaceutický gigant, výrobce léků na cukrovku a hubnutí Ozempic a Wegovy.
Proč tady: Oběť útoku — hackeři zkopírovali data pacientů z jeho klinických studií.
Více info →GitHub
Vývojářská platforma Microsoftu pro správu a verzování zdrojového kódu.
Proč tady: Novo k ní během incidentu narychlo odpojilo přístup zaměstnancům.
Více info →Azure DevOps
Sada vývojářských nástrojů Microsoftu pro týmy programátorů.
Proč tady: Spolu s GitHubem ji Novo odstavilo, vývoj softwaru tak týdny prakticky stál.
OpenAI
Americká firma za ChatGPT, technologický partner Novo Nordisku.
Proč tady: Tatáž supply-chain vlna zasáhla i ji — odtud podezření dánských expertů na propojení.
Mini Shai-Hulud
Samoreplikující se červ skupiny TeamPCP, který krade vývojářské a cloudové přihlašovací údaje.
Proč tady: Vlna útoků, s jejímž načasováním dánští experti spojují incident u Novo.
Datatilsynet
Dánský úřad pro ochranu osobních údajů, dozor nad dodržováním GDPR.
Proč tady: Může otevřít formální vyšetřování úniku dat z klinických studií.
FulcrumSec
Vyděračská hackerská skupina, která se objevila v říjnu 2025 a specializuje se na krádež a vydírání firemních dat.
Proč tady: Přihlásila se k útoku na Novo Nordisk a žádá 25 milionů dolarů za ukradená data.
Aktualizace: vyšlo najevo výkupné — 25 milionů za 1,3 TB
Šest dní po přiznání úniku se ukázalo, co útočníci požadovali. K incidentu se přihlásila vyděračská skupina FulcrumSec, která tvrdí, že z Novo Nordisku odnesla přibližně 1,3 terabajtu dat, a za jejich utajení požadovala 25 milionů dolarů (zhruba 21,5 milionu eur). Firma podle skupiny zaplatit odmítla. Spiegel ↗ El País ↗Skupina tvrdí, že se v sítích firmy pohybovala déle než dva měsíce a počáteční přístup získala přes přihlašovací token k platformě GitHub, který našla už v březnu. Mezi ukradenými daty podle ní mají být zdrojový kód, interní dokumenty, údaje o prodávaných i připravovaných lécích — včetně „receptur“ Ozempicu a experimentálního léku na obezitu amycretinu —, data z klinických studií, záznamy o zaměstnancích, lékařích a pacientech, informace o výrobních závodech i materiály k interním modelům umělé inteligence. The Next Web ↗
Po odmítnutí výkupného skupina oznámila, že „zkoumá soukromý prodej“ části údajů. Je třeba zdůraznit, že rozsah i kategorie ukradených dat zatím stojí hlavně na vlastních prohlášeních útočníků — Novo Nordisk objem 1,3 TB ani konkrétní kategorie nezávisle nepotvrdil.
Co Novo přiznalo — a co ne
Ve svém oficiálním oznámení Novo Nordisk uvádí, že došlo k „neoprávněnému přístupu k omezenému počtu interních IT systémů“ a že „určitá neveřejná data včetně osobních údajů byla zkopírována ven bez povolení“. Novo Nordisk ↗Podle agentury Reuters mezi zasažené kategorie patří identifikační číslo pacienta, rok narození, pohlaví a zdravotní údaje včetně údajů o imunogenicitě. Firma zdůrazňuje, že informace „nejsou přímo spojeny se jmény pacientů ani jinými přímými identifikátory“ a že incident neumožňuje třetí straně identifikovat účastníky studií bez dalších dat, která neunikla. Reuters ↗
Společnost část systémů preventivně odpojila a postupně je kontrolovaně uvádí zpět do provozu; spustila vyšetřování s externími experty a kontaktovala úřady. „Ochrana bezpečnosti a integrity našich systémů a spolehlivé dodávání produktů pacientům zůstávají naší nejvyšší prioritou,“ uvádí firma. Novo Nordisk ↗ Veřejnoprávní rozhlas DR uvedl stejný závěr: jádro provozu podle firmy zasaženo není. DR ↗
Co dánská média věděla dříve
Oficiální přiznání však dává jméno něčemu, co dánský odborný tisk dokumentuje už týdny. Portály Version2 a Ingeniøren ještě 4. června — na základě interních dokumentů a screenshotů — napsaly, že Novo už 11. května narychlo odpojilo zaměstnancům přístup k vývojářským nástrojům GitHub a Azure DevOps a interní vývojové prostředí buduje „od základů“. Version2 ↗ Ingeniøren ↗Podle nich vývoj softwaru ve firmě prakticky stál několik týdnů. Právě tento rozměr — týdny ochromeného vývoje a kompletní přestavba prostředí — v agenturní depeši, kterou převzaly slovenské a české weby, zůstal v pozadí.
Stopa k útoku na dodavatelský řetězec — zatím nepotvrzená
Dánští experti upozornili na nápadné načasování: odstavení nástrojů u Novo Nordisku se shoduje s globální vlnou útoků na dodavatelský řetězec softwaru. Samoreplikující se červ z kampaně Shai-Hulud skupiny TeamPCP podle bezpečnostní firmy Tenable od září 2025 postupně infikoval přes 170 balíčků v ekosystémech npm a PyPI; jeho aktuální verze Mini Shai-Hulud prolomila i přísné ověřování původu kódu a zasáhla firmy OpenAI a Mistral AI. Tenable ↗Jeden z dánských odborníků označil za podezřelou shodu, že útok zasáhl i partnera Novo Nordisku, společnost OpenAI. Version2 ↗ Žádný přímý příčinný vztah však Novo Nordisk nepotvrdil a k původu útoku se oficiálně nevyjádřil. Tvrzení tak zůstává v rovině časové shody, nikoli prokázaného spojení.
Proč to řeší i slovenský a český čtenář
Novo Nordisk není ledajaká firma — jeho léky Ozempic a Wegovy patří mezi nejznámější a nejprodávanější na světě a debata o nich se vede i u nás. Únik dat z klinických studií je citlivý, protože jde o zdravotní informace chráněné evropským nařízením GDPR; podle analytiků bude klíčové, zda datové úřady otevřou formální vyšetřování a zda incident skončí pokutami. Yahoo Finance ↗Případ připomíná, jak silně i špičkové evropské firmy závisí na amerických vývojářských platformách jako GitHub či Azure DevOps (obojí patří Microsoftu) — a jak rychle se kompromitovaný open-source balíček může přelít do firemních vývojových prostředí napříč odvětvími. Akcie Novo Nordisku, které za uplynulý rok ztratily přes 40 procent hodnoty, čelí dalšímu tlaku na důvěru investorů. Yahoo Finance ↗
Co sleduje hotinfo
- Zda dánský datový úřad (Datatilsynet) otevře formální vyšetřování úniku dat z klinických studií.
- Zda Novo Nordisk nebo vyšetřovatelé potvrdí, nebo vyvrátí spojení s vlnou Shai-Hulud.
- Kdy firma plně obnoví vývojové prostředí a jaký bude dopad týdnů omezeného vývoje.
- Zda se objeví další evropské oběti stejné kampaně.
- Zda FulcrumSec po odmítnutí výkupného ukradená data skutečně zveřejní nebo prodá — a zda se nezávisle potvrdí jejich rozsah a obsah.
