قراصنة يزعمون اختراق شركة نوفو نورديسك والمطالبة بفدية قدرها 25 مليون دولار

حين يتعلق الأمر بشركات الأدوية، فإن الثقة هي العملة الأهم. ثقة المرضى في العلاج، وثقة الأطباء في البيانات السريرية، وثقة الأسواق في حماية الملكية الفكرية. لذلك، فإن خبر اختراق إلكتروني يستهدف شركة بحجم نوفو نورديسك لا يبدو كحادثة تقنية عابرة، بل كاختبار حقيقي لبنية الأمن السيبراني في قطاع بالغ الحساسية.

مجموعة ابتزاز إلكتروني تُدعى FulcrumSec أعلنت أنها تسللت إلى أنظمة نوفو نورديسك لأكثر من شهرين، وتمكنت خلال تلك الفترة من استخراج ما يقارب 1.3 تيرابايت من البيانات، قبل أن تطالب بفدية قدرها 25 مليون دولار مقابل عدم نشرها. الشركة الدنماركية، المعروفة بأدوية إنقاص الوزن مثل Wegovy وOzempic، أكدت وقوع وصول غير مصرح به ورفضت دفع الفدية.

اللافت هنا ليس فقط حجم البيانات، بل المدة الزمنية التي قضاها المهاجمون داخل الشبكات. شهران داخل البنية التحتية لشركة أدوية عالمية يشيران إلى عملية تسلل هادئة، أقرب إلى مراقبة منهجية منها إلى هجوم خاطف. في عالم الأمن المعلوماتي، هذه الفترة تُعرف بمرحلة التمكين، حيث يصبح المهاجم جزءاً غير مرئي من النظام.

بحسب ما أعلنته المجموعة نفسها، شملت البيانات المسروقة شيفرات مصدرية، معلومات ملكية عن أدوية مطروحة وأخرى قيد التطوير، بيانات تجارب سريرية، سجلات موظفين وأطباء ومرضى، إضافة إلى معلومات عن منشآت التصنيع ومواد مرتبطة بنماذج ذكاء اصطناعي داخلية.

هذه ليست قاعدة بيانات معزولة، بل خريطة تشغيل كاملة لشركة دوائية عالمية. حتى لو لم يتم التحقق المستقل من حجم البيانات، فإن مجرد الادعاء يعكس مستوى الطموح لدى مجموعات الابتزاز الحديثة.

المثير أن FulcrumSec لم تعلن عن تشفير الأنظمة كما في هجمات الفدية التقليدية، بل اتبعت نموذج الابتزاز المزدوج: تسلل، استخراج بيانات، ثم تهديد بالنشر أو البيع في حال عدم الدفع. هذا النموذج أصبح أكثر شيوعاً لأنه يضغط على الشركات من زاوية السمعة والامتثال التنظيمي، لا مجرد تعطيل الخدمات.

في قطاع الرعاية الصحية، للبيانات المسروقة قيمة طويلة الأمد في الأسواق السوداء الرقمية، سواء لأغراض الاحتيال أو هجمات التصيد الموجهة أو سرقة الهوية. وبالتالي فإن الخطر لا ينتهي عند لحظة الاكتشاف، بل يمتد لسنوات.

نوفو نورديسك اختارت عدم دفع الفدية، وهو القرار الذي ينصح به غالباً خبراء الأمن السيبراني. الدفع لا يضمن حذف البيانات، بل قد يمول هجمات مستقبلية ويكرس نموذج الابتزاز. وفي المقابل، الرفض يعني احتمال تسريب أو بيع المعلومات.

هذا النوع من القرارات يعكس معادلة معقدة بين حماية السمعة، والامتثال للقوانين، والمسؤولية الأخلاقية تجاه المرضى والمساهمين. النقاش حول حظر دفع الفدى قانونياً لا يزال قائماً في عدة دول، لأن كل حالة تضع الشركات أمام مفارقة صعبة: هل تدفع لتقليل الضرر الفوري، أم ترفض وتحمل العواقب؟

القضية هنا لا تتعلق بشركة واحدة أو بمجموعة قرصنة جديدة، بل بسؤال أوسع حول صلابة الأمن الرقمي في صناعات تقف على تماس مباشر مع حياة البشر. في زمن تتسابق فيه شركات الأدوية لاستخدام التحليلات المتقدمة والذكاء الاصطناعي وتسريع الابتكار، يبقى الأمن السيبراني هو البنية غير المرئية التي إن اهتزت، اهتزت معها الثقة بأكملها.