Amgenのクラウドデータ侵害、患者の健康情報や独自情報が流出

製薬会社のAmgenは、サードパーティのサービスプロバイダーが運用する複数のクラウドシステムに保存されていた企業データと患者情報を、脅威アクターに盗まれるデータ侵害に見舞われたと発表しました。

Amgenはカリフォルニアを拠点とするバイオテクノロジー企業で、がん、心血管疾患、炎症性疾患、希少疾患など、重篤な病気の治療薬の開発・製造を手がけています。

同社によると、2026年7月に不正なアクティビティを検知し、サイバーセキュリティ対応計画を発動して封じ込め対策を実施するとともに、独立したフォレンジック専門家を雇い、事案の調査に当たらせたということです。

調査の結果、攻撃者がクラウド環境から機密データを盗み出していたことが判明しました。

「当社はその後、独自データ、患者の保護対象保健情報、その他の情報を含む一部のデータが、これらのクラウド環境から窃取されていたことを把握しました」と、AmgenはSECに提出したForm 8-Kで述べています。

同社は現在も、機密性の高い事業情報、知的財産、研究開発データ、その他の患者情報など、追加の情報がアクセスまたは窃取された可能性があるかどうかを調査中です。

Amgenは、関与したサードパーティのクラウドプロバイダーがどこか、どのように環境が侵害されたか、影響を受けた可能性のある人数、また今回の攻撃が既知の脅威アクターと関連しているかどうかについて、いずれも明らかにしていません。

7月29日、同社は潜在的に影響を受けたファイルの量と、それらに機密情報が含まれていた可能性を評価した結果、今回の事案が重大なものであると判断しました。

もっとも、Amgenは現時点で、この事案が財務状況や事業成績に重大な影響を及ぼす可能性は合理的に見て低いと考えているとしています。

同社は、サードパーティのサイバーセキュリティ専門家の支援を受けながら、引き続き侵害の調査を進めているとしています。

Amgenはさらに、法的・規制上の通知義務について検討しており、必要に応じて影響を受けた患者に通知するとしています。

BleepingComputerはAmgenに対し、今回の侵害が従業員のシングルサインオンアカウントを狙ったビッシング攻撃によるものかどうか、どのクラウドサービスが影響を受けたか、また、ShinyHuntersを名乗る脅威アクターから接触や恐喝を受けたことがあるかどうかについて問い合わせました。

本稿執筆時点では回答は得られていません。