FulcrumSec vole 1,3 To à Novo Nordisk : pipeline IA exposé

Deux mois de présence discrète avant l'exfiltration

En mars 2026, le groupe de cyber-extorsion FulcrumSec a obtenu un premier accès aux systèmes de Novo Nordisk — le géant pharmaceutique danois connu pour ses médicaments anti-diabétiques et anti-obésité comme Ozempic et Wegovy — en exploitant une faille de sécurité élémentaire mais dévastatrice : des identifiants d'authentification codés en dur dans un bundle JavaScript accessible publiquement depuis le site de l'entreprise.

Selon les analyses publiées par plusieurs cabinets de cybersécurité dont CybelAngel, Sysdig et SmartTech247, les attaquants ont découvert dans ce bundle côté client un token GitHub à accès étendu (Personal Access Token) donnant accès à des centaines de dépôts privés de Novo Nordisk, ainsi que des identifiants de registre de conteneurs Azure (Azure Container Registry). Ces deux vecteurs d'accès, exposés involontairement par une pratique de développement risquée, ont suffi à FulcrumSec pour s'implanter profondément dans l'environnement cloud du groupe.

Pendant plus de deux mois, entre mars et juin 2026, le groupe a maintenu une présence discrète dans les réseaux de Novo Nordisk, procédant à une reconnaissance systématique des systèmes, des dépôts de code, des bases de données et des plateformes collaboratives. Ce temps de résidence exceptionnellement long — dénommé « dwell time » dans le jargon de la réponse à incident — a permis à FulcrumSec de cartographier l'ensemble des actifs accessibles et de sélectionner les données les plus précieuses avant toute exfiltration.

C'est le 15 juin 2026 que la situation a basculé : FulcrumSec a commencé à publier des échantillons des données volées sur son site de fuite hébergé sur le darkweb, quelques jours après que Novo Nordisk avait officiellement divulgué l'incident le 11 juin 2026. La simultanéité entre la divulgation publique et la mise en ligne des données suggère que les négociations de rançon avaient déjà échoué.

Le volume total exfiltré est estimé à 1,3 To de données. Selon FulcrumSec et les analyses forensiques indépendantes, le butin comprend des données d'essais cliniques — potentiellement couvertes par la réglementation FDA et EMA sur la confidentialité des données de recherche clinique — de la propriété intellectuelle sur les processus de fabrication, et des modèles d'intelligence artificielle développés en interne par Novo Nordisk pour la découverte de nouvelles molécules thérapeutiques. Ces modèles d'IA, entraînés sur des années de données biologiques propriétaires, représentent un actif stratégique d'une valeur inestimable pour un concurrent pharmaceutique.

FulcrumSec a réclamé 25 millions de dollars pour ne pas divulguer les données. Novo Nordisk a refusé de payer. La société a indiqué avoir immédiatement engagé des mesures de confinement dès la détection de l'incident, et collaboré avec les autorités danoises de cybersécurité ainsi que les forces de l'ordre. La révocation du token GitHub compromis et la rotation des identifiants Azure ont été les premières mesures techniques déployées.

D'après l'analyse de Sysdig publiée sous le titre « The FulcrumSec playbook », le groupe présente un profil opérationnel distinct : il se spécialise dans l'exfiltration à haute vitesse depuis des environnements cloud, sans déploiement de ransomware chiffrant les systèmes. Son modèle économique repose exclusivement sur la menace de divulgation — ce que les analystes nomment « pure extortion » ou « data-only extortion » — ce qui le distingue des opérateurs ransomware traditionnels. Ce positionnement lui permet d'opérer avec un profil technique moins bruyant et de réduire les risques de détection précoce.

L'incident illustre une vulnérabilité structurelle dans les pratiques DevOps de nombreuses organisations : l'exposition involontaire de secrets dans des artefacts JavaScript côté client. Contrairement à une configuration serveur mal protégée, ce type de fuite est particulièrement difficile à détecter en interne car le fichier JavaScript est public par définition — accessible à tout internaute — et les outils de surveillance traditionnels ne l'analysent pas comme une surface d'attaque.

FulcrumSec, un acteur montant de la cyber-extorsion spécialisée cloud

FulcrumSec a émergé comme groupe identifié dans les rapports de threat intelligence à partir de septembre 2025. En moins d'un an, le groupe s'est construit une réputation de spécialiste des environnements cloud, ciblant préférentiellement des organisations dont les processus de développement logiciel présentent des pratiques de gestion des secrets défaillantes — hardcoded credentials, tokens dans des dépôts publics, variables d'environnement mal protégées.

Le cas Novo Nordisk est emblématique de sa méthodologie : reconnaissance passive à partir de ressources publiques, exploitation d'un vecteur d'accès négligé par les équipes de sécurité internes, établissement d'une persistance durable, exfiltration massive et demande de rançon. L'ensemble de la chaîne d'attaque repose sur des techniques connues mais dont la combinaison reste redoutablement efficace contre des organisations qui n'ont pas implémenté de programme systématique de détection des secrets exposés.

Pour les entreprises du secteur pharmaceutique et des biotechnologies, cette affaire constitue un signal d'alarme particulier. Ces secteurs concentrent des données d'une valeur exceptionnelle — formules chimiques, données cliniques, brevets en développement, modèles prédictifs — qui représentent des années d'investissement en recherche et développement. La compromission de ces actifs ne se limite pas à une atteinte à la réputation : elle peut affecter la compétitivité stratégique d'une entreprise pendant des années, voire décennies, si des concurrents parviennent à exploiter les données dérobées.

Sur le plan réglementaire, l'incident soulève des questions importantes en matière de conformité au RGPD (données potentiellement personnelles issues des essais cliniques), à la réglementation sur les essais cliniques (CTR en Europe, régulations FDA aux États-Unis), et aux obligations de notification aux autorités compétentes. Novo Nordisk, coté en bourse, devait également gérer l'impact sur ses obligations de divulgation aux marchés financiers. La divulgation publique du 11 juin 2026 semble avoir respecté les délais réglementaires, mais l'ampleur exacte des données exposées continuera d'alimenter les investigations.

Ce qu'il faut retenir

• FulcrumSec a accédé aux systèmes de Novo Nordisk via des identifiants codés en dur dans un fichier JavaScript public — une vulnérabilité d'hygiène DevOps évitable par un scan automatique des secrets.
• Deux mois de présence non détectée ont permis l'exfiltration de 1,3 To incluant des modèles d'IA de découverte de médicaments et des données d'essais cliniques inédits.
• Ce type d'attaque « data-only extortion » sans chiffrement se banalise : les outils EDR traditionnels orientés ransomware ne suffisent plus à détecter ces intrusions silencieuses.