Data Pasien Amgen Bocor Imbas Peretasan Vendor Komputasi Awan

Raksasa farmasi Amgen melaporkan insiden kebocoran data informasi kesehatan pasien yang dilindungi akibat peretasan pada vendor komputasi awan pihak ketiga, sebagaimana diungkapkan dalam berkas Form 8-K kepada Komisi Sekuritas dan Bursa Amerika Serikat (SEC) pada 31 Juli 2026.

Perusahaan mengonfirmasi bahwa peretas berhasil mengambil data kepemilikan, informasi kesehatan pasien (PHI), dan materi sensitif lainnya dari beberapa lingkungan komputasi awan yang dikelola oleh penyedia layanan luar. Meskipun sistem internal, produksi obat, serta rantai pasokan Amgen tetap aman dan beroperasi normal, data milik pasien dilaporkan telah terkompromi.

Penetapan status material atas insiden tersebut dilakukan Amgen pada 29 Juli 2026, yang memenuhi tenggat waktu pelaporan SEC selama empat hari kerja. Namun, regulasi HIPAA menetapkan batas waktu pemberitahuan kepada individu yang terdampak selama 60 hari sejak tanggal penemuan awal, yang kemungkinan dihitung saat vendor pertama kali mendeteksi peretasan tersebut.

Sebelumnya, lembaga intelijen siber Silent Push mengidentifikasi lonjakan infrastruktur dari aliansi kelompok peretas ShinyHunters, Scattered Spider, dan LAPSUS$ pada Januari 2026 yang menargetkan akun single sign-on di lebih dari 100 organisasi besar, termasuk Amgen. Organisasi berbagi informasi keamanan siber sektor kesehatan, Health-ISAC, juga mengeluarkan peringatan resmi pada 24 Juli 2026 terkait peningkatan serangan ShinyHunters terhadap organisasi teknologi medis melalui metode rekayasa sosial.

"SSO adalah bidang kendali, dan pengaruh ShinyHunters diciptakan melalui pencurian data dalam skala awan," tulis Health-ISAC dalam laporan resminya.

Amgen menyatakan saat ini masih mengevaluasi persyaratan pemberitahuan hukum dan regulasi yang berlaku serta akan melakukan seluruh pemberitahuan yang diperlukan berdasarkan hasil penyelidikan. Investigasi masih terus berjalan dan belum ada jumlah pasti terkait total pasien yang terdampak dalam insiden ini.