概要
米製薬大手Amgenは、複数の外部ベンダーが運用するサードパーティクラウド環境への不正アクセスにより、患者の保護対象保健情報(PHI)や企業の機密データが流出したことを公表した。同社は2026年7月に不正なアクティビティを検知し、7月29日にこの事案が「重大(material)」インシデントに該当すると判断、7月31日付で米証券取引委員会(SEC)にForm 8-Kとして正式に報告した。攻撃者の身元や侵入経路、具体的にどのクラウドサービスプロバイダーが関与したかについては、現時点で明らかにされていない。
流出したデータと影響範囲
流出が確認されたデータには、患者の保護対象保健情報に加え、企業の機密情報、知的財産、研究開発(R&D)関連データが含まれる。Amgenは、追加の機密性の高いデータがアクセスされた可能性についても引き続き調査を進めているとしており、影響を受けた患者の具体的な人数は明らかにしていない。同社は法的・規制上の通知義務を評価中で、必要に応じて影響を受けた患者への通知を行う予定としている。
Amgenの対応とSEC報告の内容
Amgenは事案の検知後、社内のサイバーセキュリティ対応計画を発動し、封じ込め措置を実施するとともに、独立した外部のフォレンジック専門家を起用して調査にあたっている。SECへのForm 8-K提出において同社は、この侵害が製品供給、製造業務、財務報告システム、患者ケア能力には影響を及ぼしていないとした上で、現時点では同社の財務状況や経営成績に重大な影響を及ぼす可能性は低いとの見解を示した。調査は外部のサイバーセキュリティ専門家の支援を受けながら継続中である。
背景
Amgenの今回の事案は、Abbott、Clover Health、Stryker、Medtronic、Novo Nordisk、West Pharmaceutical Servicesなど、近年相次いでいるヘルスケア業界を狙ったサイバー攻撃・データ侵害事案の流れに連なるものとなる。医療関連企業が保有する患者の保護対象保健情報や研究開発データは攻撃者にとって高い価値を持つため、サードパーティのクラウドサービスを含むサプライチェーン全体でのセキュリティ管理が業界共通の課題として改めて浮き彫りになっている。