Amgen divulga violação de cloud que expôs dados de saúde de pacientes e arquivos proprietários

A Amgen, uma das maiores empresas de biotecnologia do mundo, divulgou em um Formulário 8-K protocolado na SEC em 31 de julho de 2026 que hackers exfiltraram informações de saúde protegidas de pacientes e dados proprietários da empresa a partir de ambientes cloud hospedados por provedores terceiros. O documento marca a primeira confirmação pública da fabricante farmacêutica de um incidente de cibersegurança que agora classifica como material.

De acordo com o documento, a Amgen detectou pela primeira vez atividade não autorizada em seus ambientes cloud de terceiros no início de julho. A empresa ativou seu plano de resposta a incidentes de cibersegurança, implementou medidas de contenção e contratou especialistas forenses independentes para investigar. Em 29 de julho, após avaliar o volume de arquivos que pareciam ter sido afetados e a probabilidade de que os dados envolvidos fossem sensíveis, a Amgen determinou que o incidente atingiu o limiar de materialidade sob as regras de divulgação da SEC — desencadeando o protocolo do 8-K dois dias depois.

Uma violação em uma empresa do porte da Amgen tem peso desproporcional para o setor de saúde. A Amgen desenvolve tratamentos utilizados por milhões de pacientes em todo o mundo, incluindo terapias para câncer, osteoporose e doenças cardiovasculares, e mantém vastos repositórios de dados de ensaios clínicos, registros de pacientes vinculados a seus programas de medicamentos e pesquisas proprietárias. Violações em ambientes cloud de terceiros tornaram-se um dos pontos de entrada mais comuns para atacantes que visam grandes empresas, precisamente porque ficam fora do perímetro de segurança direto de uma organização enquanto ainda armazenam dados sensíveis — um padrão observado em diversas grandes violações no setor de saúde e farmacêutico nos últimos dois anos.

A Amgen não divulgou qual provedor ou provedores cloud estiveram envolvidos, como os ambientes foram inicialmente comprometidos, quantas pessoas tiveram suas informações expostas, ou se a intrusão foi vinculada a um agente de ameaça conhecido ou grupo de ransomware. A empresa confirmou que os dados exfiltrados incluem dados corporativos proprietários, informações de saúde protegidas de pacientes (PHI) e outras informações não especificadas, conforme reportado inicialmente pelo BleepingComputer e pela Reuters.

Apesar do escopo da exfiltração, a Amgen afirmou não ter encontrado impacto em seus produtos, operações de fabricação ou sistemas de relatórios financeiros, e nenhuma interrupção em sua capacidade de atender às necessidades dos pacientes. A empresa também declarou que atualmente não acredita que o incidente seja razoavelmente provável de ter um efeito material em sua condição financeira ou resultados operacionais — um aviso padrão em protocolos da SEC relacionados a violações que deixa margem para que a avaliação mude à medida que a investigação continua.

A divulgação adiciona a Amgen a uma lista crescente de grandes empresas de saúde e farmacêuticas atingidas por violações de dados baseadas em cloud em 2026, evidenciando como os atacantes estão cada vez mais mirando a infraestrutura de terceiros que armazena os registros mais sensíveis de uma organização, em vez de atacar diretamente as redes corporativas. Para os pacientes cujas informações de saúde podem ter sido expostas, e para o setor de biotecnologia em geral, o incidente serve de alerta de que a segurança de dados vai muito além do firewall de uma empresa — estendendo-se a cada fornecedor cloud do qual ela depende para armazenar dados clínicos e corporativos.