Amgen a déclaré à la SEC américaine que des attaquants avaient volé des informations de santé de patients et des données propriétaires dans des systèmes cloud exploités par des prestataires externes, et non sur son propre réseau. L'entreprise a conclu que l'incident était matériel le 29 juillet 2026. Elle indique que l'approvisionnement en médicaments n'a pas été affecté. La leçon : les données placées dans le cloud d'un prestataire restent la fuite du propriétaire à déclarer.
Amgen, l'une des plus grandes entreprises de biotechnologie au monde, a déclaré à la Securities and Exchange Commission américaine (SEC) que des attaquants avaient volé des informations de santé de patients et des données propriétaires de l'entreprise dans des systèmes cloud exploités par des prestataires externes, et non sur le réseau propre d'Amgen. L'entreprise a détecté l'intrusion en juillet 2026 et a conclu le 29 juillet 2026 que l'incident était matériel. Amgen indique que sa capacité à fabriquer et à fournir des médicaments n'a pas été affectée. La leçon : les données qu'une entreprise place dans le cloud d'un prestataire restent la fuite qu'elle doit déclarer et défendre.
Ce qui s'est passé
Dans un dépôt auprès de la SEC, Amgen a indiqué avoir constaté une activité non autorisée en juillet 2026 portant sur des données hébergées dans des environnements cloud exploités par des prestataires tiers. L'entreprise a conclu que l'incident était matériel le 29 juillet 2026, sur la base du volume de dossiers concernés et de la sensibilité des informations. Selon elle, les données dérobées comprennent des informations propriétaires de l'entreprise, des informations de santé protégées de patients (des données de santé qui identifient une personne) et d'autres dossiers sensibles. Amgen déclare avoir activé son plan de réponse aux incidents, contenu l'activité et fait appel à des enquêteurs légistes externes. Elle ne signale aucune interruption de ses produits, de sa production, de son information financière ou de son approvisionnement en médicaments.
Plusieurs détails ne sont pas confirmés. Amgen n'a pas nommé les prestataires cloud concernés, ni précisé comment les systèmes ont été atteints, ni indiqué un nombre de personnes touchées, ni attribué l'attaque à un groupe connu. L'entreprise a indiqué qu'elle notifiera les personnes et les régulateurs comme requis une fois que son examen aura déterminé qui a été affecté.
Pourquoi c'est important pour le risque tiers
Le schéma est l'exposition via le cloud d'un fournisseur. Les grandes entreprises stockent des données réglementées dans des systèmes exploités par des prestataires externes : éditeurs de logiciels, plateformes d'analyse, services cloud infogérés. Ces données peuvent être dérobées sans qu'aucun attaquant ne touche le réseau propre de l'entreprise. Les opérations centrales d'Amgen ont continué de fonctionner, pourtant les dossiers ayant fuité relevaient de sa responsabilité. La notification de violation, l'exposition réglementaire et le coût de réputation restent chez le propriétaire des données, pas chez le prestataire qui a été compromis. Un périmètre bien défendu ne couvre pas des données qui résident ailleurs.
Ce que les équipes doivent en retenir
Deux enseignements. D'abord, tenez un inventaire des prestataires qui détiennent vos données réglementées, et de leur emplacement. Une violation matérielle peut survenir dans un système que vous n'exploitez pas et que vous ne pouvez pas voir directement. Ensuite, traitez les fournisseurs cloud et logiciels comme relevant du périmètre de vos exercices d'incident, pas seulement votre propre infrastructure. Si un prestataire est lent à détecter ou à signaler, votre horloge de divulgation et l'exposition de vos clients sont déjà en marche. Les contrats doivent fixer les modalités de détection, de notification et d'accès aux investigations avant un incident, pas pendant.
Pour les équipes qui mesurent cette exposition, il vaut la peine d'examiner comment la surveillance continue des fournisseurs réduit l'écart entre la fuite d'un prestataire et votre réponse.
FAQ
Le réseau propre d'Amgen a-t-il été violé ?
Amgen indique que les données concernées se trouvaient dans des systèmes cloud exploités par des prestataires tiers, et non dans ses propres systèmes. Elle ne signale aucune interruption de sa production, de son information financière ou de son approvisionnement en médicaments.
Quelles données ont été prises ?
Selon le dépôt d'Amgen auprès de la SEC, les données dérobées comprennent des informations propriétaires de l'entreprise et des informations de santé protégées de patients, ainsi que d'autres dossiers sensibles. Le nombre de personnes touchées n'a pas été communiqué.
Pourquoi Amgen a-t-elle qualifié l'incident de matériel ?
Amgen a conclu le 29 juillet 2026 que l'incident était matériel, sur la base du volume de dossiers concernés et de la sensibilité des données. Selon les règles de la SEC, une détermination de matérialité déclenche une obligation de divulguer l'incident.
Vous souhaitez appliquer cela à votre écosystème fournisseurs ? Découvrez la plateforme en action et cartographiez vos principaux risques fournisseurs en direct lors d'une présentation.
