Peretas Curi Data Pasien Amgen Lewat Pihak Ketiga

Raksasa farmasi Amgen mengungkapkan bahwa data rahasia perusahaan dan informasi kesehatan pribadi pasien telah dicuri oleh peretas. Peretasan tersebut tidak menembus sistem internal Amgen, melainkan terjadi pada beberapa lingkungan awan milik vendor pihak ketiga.

Pengungkapan kasus pencurian data ini disampaikan Amgen melalui dokumen Formulir 8-K yang diserahkan kepada Komisi Sekuritas dan Bursa Amerika Serikat (SEC) pada 31 Juli 2026. Perusahaan menentukan tingkat keparahan insiden ini pada 29 Juli 2026 setelah melihat volume berkas yang terdampak.

Meskipun data pasien dalam lingkungan awan vendor berhasil diakses pihak luar, sistem internal Amgen, produksi obat, serta rantai pasokan perusahaan dipastikan tetap aman dan beroperasi normal tanpa gangguan.

Insiden ini memicu dua batas waktu hukum di Amerika Serikat. Berdasarkan aturan SEC, perusahaan wajib melaporkan insiden materiil dalam empat hari kerja, yang telah dipenuhi Amgen. Namun, di bawah aturan kebocoran HIPAA, tenggat waktu 60 hari untuk memberitahukan pasien terdampak dihitung sejak tanggal penemuan pertama oleh vendor.

Lembaga intelijen siber Silent Push sebelumnya mendeteksi lonjakan aktivitas dari kelompok peretas ShinyHunters yang bekerja sama dengan Scattered Spider dan LAPSUS$ pada Januari 2026. Kelompok tersebut menargetkan akun single sign-on (SSO) di lebih dari 100 organisasi besar, termasuk Amgen.

Health-ISAC kemudian mengeluarkan peringatan resmi pada 24 Juli 2026 mengenai peningkatan serangan ShinyHunters ke sektor kesehatan. Modus operandi dilakukan melalui rekayasa sosial suara (vishing) ke helpdesk vendor untuk meretas akun SSO Microsoft Entra, Okta, atau Google, lalu mengunduh data secara massal dari platform seperti SharePoint dan Salesforce.

"SSO adalah bidang kendali, dan daya tawar ShinyHunters diciptakan melalui pencurian data dalam skala awan," ungkap Health-ISAC dalam ringkasannya.

Amgen belum mengonfirmasi keterlibatan ShinyHunters secara resmi dan belum memberikan jadwal pasti terkait pemberitahuan kepada para pasien yang terdampak. Pencurian data kesehatan di pasar gelap diperkirakan bernilai hingga 250 dolar AS per rekam medis.