Resumen ejecutivo

Amgen ha comunicado acceso no autorizado a sistemas de almacenamiento cloud alojados por terceros y ha confirmado la exfiltración de datos propietarios, información sanitaria protegida (PHI) y otros datos. La compañía determinó el 29 de julio que el incidente era material y lo notificó a la SEC; el alcance exacto, el vector inicial y el actor responsable siguen sin conocerse. Amgen afirma que no prevé impacto en sus productos, fabricación, sistemas de información financiera ni capacidad para atender a pacientes. Para un CISO, el caso obliga a tratar los repositorios cloud de terceros como activos críticos y a no esperar a la atribución para iniciar el análisis de exposición y notificación.

Puntos clave

  • El acceso afectó a sistemas cloud alojados por terceros y fue identificado durante julio de 2026.
  • Amgen confirma la exfiltración de PHI y datos propietarios, pero continúa determinando qué información concreta salió del entorno.
  • La compañía activó su plan de respuesta, aplicó medidas de contención y contrató especialistas forenses; las obligaciones regulatorias y legales siguen bajo evaluación.

HIPAA

La aplicabilidad depende del origen de la PHI y del papel de Amgen en cada tratamiento. Cuando los datos procedan de una relación entre una covered entity y un business associate, debe documentarse la evaluación de riesgo y determinarse si procede la notificación conforme a 45 CFR §§ 164.400-414; la propia compañía indica que está evaluando sus responsabilidades bajo HIPAA.

ENS

El incidente no activa por sí solo el ENS fuera de su ámbito español. Para entidades sujetas al ENS, sí refuerza la necesidad de inventariar repositorios cloud externos, controlar identidades privilegiadas y exigir trazabilidad y notificación contractual a los proveedores.

NIS2

No consta que el incidente afecte a una entidad europea sujeta a NIS2. Si servicios esenciales de salud de la UE compartieran datos o dependencias con el entorno comprometido, tendrían que evaluar impacto, cadena de suministro y los plazos de comunicación previstos en la transposición nacional.

MDR

La fuente no identifica impacto en dispositivos médicos, fabricación ni disponibilidad de productos, por lo que no puede afirmarse una obligación MDR directa. Si la investigación alcanzara documentación técnica, software de producto o evidencias de seguridad poscomercialización, el fabricante debería incorporarlo a su evaluación de riesgo y vigilancia.

GDPR

GDPR solo resultaría aplicable si entre los datos exfiltrados hubiera información personal de personas en la UE/EEE o un tratamiento sujeto territorialmente al Reglamento. En ese caso, habría que valorar la notificación a la autoridad en 72 horas desde que el responsable tenga conocimiento y, si existe alto riesgo, la comunicación a los afectados.

Recomendación

Inventariar de inmediato todos los repositorios cloud de terceros con PHI o propiedad intelectual; revocar y rotar credenciales, claves y tokens asociados; preservar registros de identidad, acceso y exfiltración; segmentar los datos clínicos y de I+D; y revisar contratos, BAA y plazos de notificación. La validación debe cubrir también copias, snapshots, cuentas de servicio y canales de exportación, no solo el sistema inicialmente comprometido.

Fuente: HIPAA Journal

Este análisis es parte de HealthSec.