Novo Nordisk révèle une fuite de données de patients d'essais cliniques après un incident de sécurité informatique

Le 11 juin 2026, Novo Nordisk — le géant pharmaceutique danois surtout connu comme le premier producteur mondial d'insuline et le fabricant des médicaments GLP-1 Ozempic et Wegovy — a publié un avis révélant un incident de sécurité au cours duquel des informations, dont des données de patients issues de certains de ses essais cliniques, ont été copiées hors de ses systèmes informatiques internes sans autorisation.

Ce qui s'est passé

Selon l'avis de l'entreprise et les informations parues ensuite, une partie non autorisée a accédé à un volume limité de données liées à des participants à certains essais cliniques de Novo Nordisk, puis les a exfiltrées. Les catégories exposées comprenaient des identifiants de patients alphanumériques aléatoires, des informations sur la participation à l'essai, le sexe, l'année de naissance, des biomarqueurs, des données de santé et d'immunogénicité, ainsi que des facteurs liés au mode de vie comme le tabagisme, la consommation d'alcool et l'indice de masse corporelle. Novo Nordisk a souligné que les données concernées étaient pseudonymisées et qu'aucune information directement identifiante — comme le nom des patients — n'avait été dérobée.

L'entreprise a indiqué avoir identifié l'incident, fait appel à des experts externes en cybersécurité pour mener l'enquête et être en contact avec les autorités compétentes. Pour contenir la fuite, elle a temporairement mis hors ligne certains systèmes internes et s'emploie à rétablir ses services de manière contrôlée. Novo Nordisk n'a pas encore précisé quand la fuite a été détectée ni combien de personnes sont touchées, et a invité les participants aux essais cliniques à rester vigilants.

Pourquoi c'est important

Les jeux de données d'essais cliniques sont particulièrement sensibles : même dépouillés des noms, la combinaison de biomarqueurs, de résultats d'immunogénicité et de caractéristiques de mode de vie peut permettre une ré-identification et présente une valeur pour la fraude, l'espionnage et le renseignement concurrentiel dans le secteur pharmaceutique. L'incident survient alors que les organisations de la santé et des sciences de la vie demeurent parmi les secteurs les plus visés, et il rappelle que la pseudonymisation limite — sans l'éliminer — le préjudice lorsque des données de recherche quittent un réseau interne.