Amgen revela un ataque a servidores cloud de terceros: expuestos datos sanitarios e información propietaria

La detección de la intrusión y la respuesta inmediata

En julio de 2026, la empresa biofarmacéutica Amgen detectó un acceso no autorizado a datos corporativos almacenados en proveedores cloud externos. La compañía activó de inmediato su plan de respuesta a incidentes, aislando los sistemas afectados y contratando a un equipo de expertos forenses independientes. El objetivo principal era contener el ataque y limitar la exfiltración de información. Amgen no ha revelado la identidad de los proveedores cloud ni ha precisado cuándo se produjo la violación inicial.

La información sustraída: PHI y secretos comerciales

Las primeras verificaciones confirman que los atacantes exfiltraron datos que contienen información propietaria y datos de salud protegidos de pacientes, los denominados PHI (Protected Health Information). Las investigaciones continúan para determinar si el botín incluye también propiedad intelectual, datos de investigación y desarrollo, historiales clínicos adicionales o secretos comerciales. La presencia de PHI activa de inmediato la atención sobre el cumplimiento de las leyes de privacidad sanitaria de EE.UU., en particular la HIPAA.

La notificación a la SEC: por qué el incidente es «material»

El 29 de julio de 2026, Amgen presentó ante la Securities and Exchange Commission un formulario 8-K en el que evaluó el incidente como «material». La empresa considera improbable que el evento tenga un impacto significativo en sus condiciones financieras u operativas. No obstante, esta clasificación exige una transparencia inmediata hacia los inversores y podría acelerar el inicio de las notificaciones legales a los pacientes y a las autoridades.

La hipótesis del vishing SSO: una puerta de acceso aún por confirmar

Algunas investigaciones periodísticas apuntan a que el vector de ataque fue un ataque de vishing (voice phishing) dirigido a una cuenta Single Sign-On (SSO) corporativa. De confirmarse, el atacante habría utilizado credenciales legítimas para moverse lateralmente y acceder a los datos alojados en los proveedores cloud de terceros. Amgen no ha confirmado ni desmentido esta hipótesis. Por el momento, el ataque no ha sido atribuido a grupos criminales o estatales conocidos.

Las consecuencias: HIPAA, notificaciones e incertidumbres para los pacientes

El incidente obliga a Amgen a evaluar con urgencia las notificaciones obligatorias requeridas por la HIPAA y otras normativas de protección de datos. Aún no se ha comunicado el número de personas afectadas ni los detalles técnicos sobre las acciones de remediación. Mientras continúan los análisis forenses, el caso reaviva el debate sobre la seguridad de las infraestructuras cloud en el sector farmacéutico, donde coexisten secretos comerciales y datos sanitarios altamente sensibles.