Amgen, ein in Kalifornien ansässiges Biotechnologieunternehmen, hat einen Sicherheitsvorfall in mehreren Cloud-Umgebungen von Drittanbietern bestätigt. Nach Angaben des Unternehmens wurden dort gespeicherte Unternehmensdaten sowie Patientendaten durch Angreifer entwendet. Amgen entwickelt und produziert Medikamente für schwere Erkrankungen, darunter Krebs, Herz-Kreislauf-Erkrankungen, Entzündungen und seltene Krankheiten.
Das Unternehmen erklärte, die unbefugten Aktivitäten im Juli 2026 bemerkt zu haben. Daraufhin seien der interne Reaktionsplan aktiviert, Eindämmungsmaßnahmen eingeleitet und unabhängige Forensik-Spezialisten hinzugezogen worden. Die laufende Untersuchung habe ergeben, dass sensible Daten aus den Cloud-Umgebungen gestohlen wurden.
In der bei der SEC eingereichten Form-8-K-Meldung schreibt Amgen, man habe inzwischen erfahren, dass „ein Teil der Daten des Unternehmens, darunter firmeneigene Daten, geschützte Gesundheitsinformationen von Patienten und andere Informationen, aus diesen Cloud-Umgebungen exfiltriert wurde“. Gleichzeitig prüft das Unternehmen weiter, ob darüber hinaus zusätzliche Informationen eingesehen oder entwendet wurden. Dazu zählen laut Amgen vertrauliche Geschäftsinformationen, geistiges Eigentum, Forschungs- und Entwicklungsdaten sowie weitere Patientendaten.
Offen ist bislang, welche externen Cloud-Anbieter betroffen waren und auf welchem Weg die Angreifer in die Umgebungen gelangten. Amgen hat außerdem weder die Zahl potenziell betroffener Personen genannt noch mitgeteilt, ob der Angriff einer bekannten Bedrohungsgruppe zugerechnet wird.
Am 29. Juli stufte das Unternehmen den Vorfall nach eigener Prüfung als wesentlich ein. Ausschlaggebend seien das Volumen der potenziell betroffenen Dateien und die Möglichkeit gewesen, dass diese sensible Informationen enthalten. Zugleich erklärte Amgen, man gehe derzeit nicht davon aus, dass sich der Vorfall voraussichtlich wesentlich auf die Finanzlage oder die operativen Ergebnisse auswirken werde.
Die Untersuchung läuft laut Amgen mit Unterstützung externer Cybersicherheitsexperten weiter. Parallel bewertet das Unternehmen die rechtlichen und regulatorischen Benachrichtigungspflichten. Betroffene Patienten sollen informiert werden, sofern dies erforderlich ist.
BleepingComputer hat Amgen nach eigenen Angaben gefragt, ob der Vorfall mit einem Vishing-Angriff auf das Single-Sign-on-Konto eines Mitarbeiters zusammenhing, welche Cloud-Dienste betroffen waren und ob sich Angreifer gemeldet oder das Unternehmen unter Berufung auf ShinyHunters erpresst haben. Eine Antwort lag zunächst nicht vor.