Amgen victime d’une fuite de données de santé via ses prestataires cloud

📄 Ce qu’Amgen a révélé, et ce qu’elle n’a pas révélé

Dans son formulaire 8-K — le document que toute société cotée aux États-Unis doit déposer auprès de la SEC (Securities and Exchange Commission, le régulateur boursier américain) en cas d’événement susceptible d’affecter significativement son activité — Amgen indique avoir identifié une « activité non autorisée » dans ses environnements cloud en juillet 2026. L’entreprise précise que des données propriétaires, des informations de santé protégées de patients (PHI, protected health information) ainsi que potentiellement des données de recherche ont pu être consultées ou exfiltrées. Amgen affirme ne pas croire, à ce stade de son enquête, que l’incident affectera « matériellement sa situation financière ou ses résultats d’exploitation » — une formulation standard destinée à rassurer les investisseurs, distincte d’une évaluation de l’impact sur les patients concernés.

🕐 De la découverte au dépôt réglementaire

Ce délai entre la détection et la notification individuelle des patients n’a rien d’illégal en soi : la réglementation américaine (HIPAA, la loi fédérale sur la portabilité et la responsabilité de l’assurance maladie) laisse un délai pouvant aller jusqu’à 60 jours après la découverte d’une brèche pour notifier les personnes concernées, une fois le périmètre de la fuite établi avec certitude.

🔗 Le maillon faible : les prestataires cloud tiers

Amgen elle-même n’a pas été directement piratée : ce sont des environnements cloud opérés par des fournisseurs tiers — non nommés publiquement à ce stade — qui ont été compromis. Ce schéma, où l’entreprise finale porte la responsabilité réglementaire d’une faille survenue chez un sous-traitant, est devenu l’un des vecteurs les plus fréquents de fuites massives de données ces dernières années, en France comme aux États-Unis. Un audit de sécurité limité au périmètre interne d’une entreprise ne suffit plus : c’est toute la chaîne de sous-traitance, souvent invisible pour le grand public, qui doit être scrutée.

💰 Pourquoi les données de santé valent plus cher que des données bancaires

Sur les marchés clandestins du dark web, un dossier médical complet (antécédents, traitements, données d’essais cliniques) se revend historiquement plus cher qu’un simple numéro de carte bancaire, précisément parce qu’il est impossible à réémettre — contrairement à une carte, un diagnostic ou un traitement ne peut pas être « annulé » après une fuite. Amgen, en tant que laboratoire pharmaceutique de premier plan (connu notamment pour ses traitements en oncologie et en rhumatologie), détient à la fois des données patients issues d’essais cliniques et des données de recherche propriétaires — une double cible pour des attaquants motivés soit par la revente de données personnelles, soit par l’espionnage industriel.

⚖️ Ce que la loi américaine impose désormais à Amgen

Le dépôt d’un formulaire 8-K déclenche une série d’obligations : notification aux autorités sanitaires compétentes selon les États où résident les patients concernés, évaluation des risques au titre du HIPAA, et potentiellement notification à des régulateurs internationaux si des patients hors des États-Unis sont concernés (Amgen opère dans une trentaine de pays). Plusieurs cabinets d’avocats américains spécialisés dans les recours collectifs ont déjà annoncé examiner la possibilité d’une action de groupe, une pratique désormais quasi systématique aux États-Unis dès qu’une fuite de données de santé est rendue publique.

🇫🇷 Le même schéma se répète en France

Le cas Amgen n’est pas isolé : la chaîne de sous-traitance cloud comme point d’entrée est également au cœur de plusieurs fuites récentes touchant des acteurs français. Notre article sur la fuite chez T2MC, sous-traitant de La Poste et de l’AP-HP, documentait déjà ce même mécanisme : un prestataire technique moins protégé que le donneur d’ordre final devient le point d’entrée vers des données sensibles. Le précédent de la fuite chez un sous-traitant d’EDF illustrait le même schéma appliqué à des données industrielles sensibles plutôt qu’à des données personnelles.

✅ Conclusion

Amgen rejoint la longue liste des entreprises internationales touchées en 2026 par une faille survenue non pas dans son propre système d’information, mais chez un prestataire cloud tiers. L’absence, à ce stade, de tout chiffre précis sur le nombre de patients concernés illustre une pratique répandue outre-Atlantique : communiquer d’abord aux marchés financiers via un document réglementaire technique, avant toute communication grand public détaillée. Les patients concernés — américains pour l’essentiel, mais potentiellement dans d’autres pays où Amgen mène des essais cliniques — devront attendre une notification individuelle dont la loi américaine fixe le délai, mais pas la précision.

📚 Sources

1. Bleeping Computer — Amgen says cloud data breach exposed patient health, proprietary info
2. DataBreaches.net — Amgen reports breach to SEC
3. HIPAA Journal — Amgen Announces Cyberattack and Data Breach Involving Patient Data