Filtración de datos de Amgen de 2026

La fuente principal es el formulario 8-K que Amgen presentó ante la Comisión de Bolsa y Valores de Estados Unidos. A partir de la investigación de la empresa, el documento confirma tanto la actividad no autorizada como la exfiltración de datos que incluían información de salud protegida de pacientes.

El 31 de julio, BleepingComputer informó de forma independiente sobre la comunicación oficial, los entornos de nube afectados y la investigación en curso. También señaló que no se habían divulgado los proveedores de servicios, el método de intrusión ni el número de personas afectadas.

Amgen identificó una actividad no autorizada en entornos alojados por proveedores externos de servicios en la nube. Activó su plan de respuesta de ciberseguridad, implementó medidas de contención y contrató a especialistas forenses independientes.

El documento oficial indica que la actividad se identificó en julio de 2026, pero no especifica el día. El 1 de julio se utiliza en el catálogo como una fecha técnica de referencia para representar ese mes; no debe interpretarse como el día del acceso inicial, de la detección ni de la exfiltración.

Amgen confirmó que la información exfiltrada incluía datos de propiedad de la empresa, información de salud protegida de pacientes y otra información. La categoría de datos relativos a los usuarios confirmada en esta entrada del catálogo es “Información de salud protegida”.

La empresa también está evaluando si se accedió a más información de pacientes, información empresarial confidencial, propiedad intelectual y datos de investigación y desarrollo, o si se sustrajeron. Estas categorías siguen bajo investigación y no figuran como categorías de datos confirmadas.

Amgen no ha publicado ninguna cifra de pacientes, personas, archivos o registros afectados. El 29 de julio, clasificó el incidente como significativo debido al volumen de archivos potencialmente afectados y a la posibilidad de que contuvieran información sensible.

Como no se dispone de una cifra pública, el campo de personas afectadas permanece vacío en lugar de completarse con un cero. Amgen indicó que estaba evaluando los requisitos legales y normativos de notificación y que, según sus hallazgos, realizaría las notificaciones exigidas, incluidas las dirigidas a los pacientes afectados.

A la fecha de presentación del documento, Amgen afirmó que no había detectado ningún impacto en sus productos, operaciones de fabricación, sistemas de información financiera ni en su capacidad para atender las necesidades de los pacientes. Tampoco preveía un efecto significativo en su situación financiera ni en sus resultados operativos.

Esa evaluación del impacto empresarial no altera la exfiltración confirmada de información de salud. Los datos de salud pueden facilitar ataques de phishing dirigidos, fraudes de identidad médica y engaños altamente personalizados, por lo que este incidente se considera sensible para las personas.

Cualquier persona que reciba una notificación del incidente de Amgen debe verificar a qué datos y servicio se refiere y contactar con el servicio de asistencia a través del dominio oficial de la empresa. No se debe confiar automáticamente en mensajes inesperados que demuestren conocer detalles sobre su salud, recetas médicas, seguros o reembolsos.

Si una notificación confirma que el incidente afectó a información de su cuenta o de contacto, cambie las contraseñas que haya reutilizado, active la autenticación multifactor y supervise sus cuentas de salud y seguros. Informe de cualquier actividad médica o reclamación de seguro que no reconozca al proveedor y a la aseguradora correspondientes a través de canales verificados.