Nach Angaben der Erpressergruppe FulcrumSec hat der dänische Pharmakonzern Novo Nordisk nach einem Cyberangriff eine Lösegeldzahlung von 25
Millionen US-Dollar (knapp 22 Millionen Euro) verweigert. Deshalb prüfe FulcrumSec nun den Verkauf von
Teilen der gestohlenen Daten, hieß es in einer Mitteilung der Gruppe. Nach
eigenen Angaben erbeuteten die Cyberkriminellen mehr als ein Terabyte an Daten bei
Novo Nordisk.
Der Hersteller des bekannten Medikaments zur
Gewichtsreduktion Wegovy und des auch als »Abnehmspritze« bekannten Diabetesmittels Ozempic hatte am 11. Juni
einen IT-Sicherheitsvorfall eingeräumt, bei dem Unbefugte Zugriff auf interne
IT-Systeme erlangt hätten. »Wir nehmen diese Angelegenheit ernst und
halten den Betrieb unserer zentralen Systeme aufrecht«, sagte ein Sprecher
von Novo Nordisk. Das Unternehmen stehe zudem in Kontakt mit den zuständigen
Behörden.
Die Hacker gaben an, mehr als zwei Monate lang in den
Netzwerken des Konzerns aktiv gewesen zu sein. Zu den gestohlenen Daten
gehörten demnach Quellcodes, vertrauliche Informationen zu Arzneimitteln,
Studienergebnisse sowie Details zu internen Modellen der Künstlichen Intelligenz
(KI). Obwohl die Gruppe nun nach Käufern suche, ziehe sie nach eigenen Angaben
eine kostenlose Veröffentlichung einem Verkauf vor. »Eine kostenlose
Veröffentlichung schreckt andere Unternehmen wirksamer davon ab, Zahlungen zu
verweigern«, sagte ein Vertreter von FulcrumSec gegenüber der
Nachrichtenagentur Reuters.
Bestimmte Informationen, darunter Daten von Tausenden
Mitarbeitern, Ärzten und rund 11.500 pseudonymisierten Patienten, wolle die
Gruppe jedoch zurückhalten. Auch Daten zur Steuerung von Produktionsanlagen
würden nicht veröffentlicht. Einem Experten der Cybersicherheitsfirma Lab-1
zufolge seien die Fähigkeiten von FulcrumSec ernst zu nehmen; auch die
Behauptungen der Gruppe wirkten glaubwürdig.
