Amgen revela una brecha en su cloud que expone datos de salud de pacientes y archivos propietarios

Amgen, una de las mayores compañías biotecnológicas del mundo, reveló en un formulario 8-K presentado ante la SEC el 31 de julio de 2026 que piratas informáticos extrajeron información de salud protegida de pacientes y datos propietarios de la empresa desde entornos cloud alojados en proveedores externos. La presentación supone la primera confirmación pública de la farmacéutica sobre un incidente de ciberseguridad que ahora clasifica como material.

Según la presentación, Amgen detectó por primera vez actividad no autorizada en sus entornos cloud de terceros a principios de julio. La compañía activó su plan de respuesta ante ciberincidentes, implementó medidas de contención y contrató expertos forenses independientes para investigar. El 29 de julio, tras evaluar el volumen de archivos afectados y la probabilidad de que los datos comprometidos fueran sensibles, Amgen determinó que el incidente superaba el umbral de materialidad establecido por las normas de divulgación de la SEC, lo que motivó la presentación del 8-K dos días después.

Una brecha en una empresa de la magnitud de Amgen tiene un peso considerable para el sector sanitario. Amgen desarrolla tratamientos utilizados por millones de pacientes en todo el mundo, entre ellos terapias contra el cáncer, la osteoporosis y las enfermedades cardiovasculares, y mantiene vastos repositorios de datos de ensayos clínicos, historiales de pacientes vinculados a sus programas de medicamentos e investigación propietaria. Las brechas en cloud de terceros se han convertido en uno de los vectores de entrada más habituales para los atacantes que apuntan a grandes empresas, precisamente porque estos entornos quedan fuera del perímetro de seguridad directo de la compañía y, aun así, almacenan datos sensibles, un patrón que se ha repetido en varios incidentes graves del sector sanitario y farmacéutico durante los últimos dos años.

Amgen no ha revelado qué proveedor o proveedores cloud estuvieron implicados, cómo fueron comprometidos inicialmente los entornos, cuántas personas tuvieron su información expuesta ni si la intrusión ha sido atribuida a un actor de amenazas conocido o a un grupo de ransomware. La compañía confirmó que los datos exfiltrados incluyen información corporativa propietaria, información de salud protegida de pacientes (PHI) y otra información no especificada, según informaron por primera vez BleepingComputer y Reuters.

A pesar del alcance de la exfiltración, Amgen afirmó que no ha detectado ningún impacto en sus productos, operaciones de fabricación o sistemas de información financiera, ni interrupción en su capacidad para atender las necesidades de los pacientes. La compañía también declaró que, por el momento, no considera que el incidente tenga probabilidades razonables de tener un efecto material en su situación financiera o en sus resultados operativos, una cláusula de exención habitual en las presentaciones ante la SEC relacionadas con brechas de seguridad que deja abierta la posibilidad de que esta valoración cambie a medida que avance la investigación.

La divulgación suma a Amgen a una lista cada vez más extensa de grandes compañías del sector sanitario y farmacéutico afectadas por brechas de datos basadas en cloud en 2026, lo que pone de manifiesto cómo los atacantes apuntan cada vez más a la infraestructura de terceros que almacena los registros más sensibles de una organización, en lugar de atacar directamente las redes corporativas. Para los pacientes cuya información de salud pudo haber quedado expuesta, y para el conjunto del sector biotecnológico, el incidente es un recordatorio de que la seguridad de los datos se extiende mucho más allá del firewall propio de una empresa, hasta abarcar cada proveedor cloud del que depende para guardar datos clínicos y corporativos.