McKesson, colosso della distribuzione farmaceutica, ha confermato una violazione informatica con accesso non autorizzato a dati tramite applicazioni di terze parti. Il gruppo ShinyHunters sostiene di aver sottratto 284 milioni di record relativi a pazienti.
McKesson, uno dei principali distributori farmaceutici e fornitori di servizi sanitari negli Stati Uniti, ha reso noto di aver subito un grave incidente di sicurezza informatica che ha coinvolto l'accesso non autorizzato a dati tramite applicazioni di terze parti. Il gruppo di estorsione ShinyHunters ha rivendicato il furto di circa 284 milioni di record contenenti informazioni relative a pazienti.
Indagine in corso e primi dettagli sulla violazione
L'azienda ha scoperto l'incidente il 25 agosto 2026 e ha comunicato che le indagini sono ancora nelle fasi iniziali. In una comunicazione alla SEC, McKesson ha dichiarato che, al momento, non è stato stabilito se l'evento sia da considerarsi "materiale" o se abbia avuto impatti significativi sulle condizioni finanziarie o operative della società. Aggiornamenti e informazioni sono disponibili sul sito ufficiale www.mckesson.com/cybersecurity.
In una nota ai clienti, McKesson ha confermato che la violazione ha coinvolto applicazioni di terze parti e che sono stati attivati immediatamente i protocolli di risposta agli incidenti, con il supporto di esperti di cybersecurity. L'azienda avverte che potrebbero verificarsi rallentamenti nei servizi, ma non sono stati disconnessi sistemi in modo proattivo. Non sono stati ancora resi noti i nomi delle applicazioni compromesse, le modalità di accesso degli attaccanti né la tipologia precisa dei dati sottratti.
ShinyHunters: attacco vishing e accesso a Salesforce e Snowflake
ShinyHunters ha dichiarato a BleepingComputer di essere responsabile dell'attacco, spiegando di aver utilizzato tecniche di vishing (voice phishing) per ingannare diversi dipendenti McKesson e ottenere accesso agli account Okta SSO. Questi accessi sono stati poi sfruttati per entrare negli ambienti Salesforce e Snowflake dell'azienda. Secondo il gruppo, l'ambiente Salesforce sarebbe stato completamente compromesso, mentre da Snowflake sarebbero stati esfiltrati circa 1TB di dati in quattro giorni, tra il 21 e il 25 agosto, per un totale di circa 284 milioni di record. ShinyHunters precisa che il numero si riferisce ai record e non necessariamente a pazienti unici.
Le informazioni sottratte, secondo quanto dichiarato dagli attaccanti, includerebbero dati sensibili come nomi, indirizzi, date di nascita, numeri di previdenza sociale, ID paziente, recapiti, numeri Medicaid, numeri di cartella clinica, informazioni su farmaci, allergie, patologie, disabilità, appuntamenti, dati dei medici, prescrizioni, spedizioni di farmaci, fatture, dati dei dipendenti, comunicazioni interne e dettagli su cliniche e fornitori che utilizzano i servizi McKesson. Tuttavia, queste affermazioni non sono state verificate in modo indipendente e McKesson non ha ancora confermato la natura dei dati coinvolti.
Richiesta di riscatto e contesto degli attacchi nel settore sanitario
ShinyHunters sostiene di aver contattato McKesson subito dopo il furto, chiedendo un riscatto di oltre 55 milioni di dollari e concedendo 72 ore per una risposta, che però non sarebbe mai arrivata. L'attacco si inserisce in una serie di campagne mirate contro aziende sanitarie e tecnologiche, con tecniche di social engineering per compromettere account aziendali e accedere a piattaforme cloud e SaaS. Tra le vittime recenti figurano anche Medtronic, DentaQuest, iRhythm, OneMedical e AdaptHealth.
La strategia di ShinyHunters, secondo ReliaQuest, prevede la registrazione di domini .claims simili ai nomi delle aziende bersaglio per impersonare help desk e team IT, come avvenuto con il dominio "mckesson.claims". Questo tipo di attacco vishing è stato già osservato anche in altri settori: ad esempio, recenti campagne contro hedge fund hanno sfruttato tecniche simili per sottrarre credenziali e dati cloud.
Health-ISAC ha recentemente lanciato un allarme per il settore sanitario, invitando le organizzazioni a rafforzare le difese contro attacchi di social engineering e a monitorare attentamente l'accesso a piattaforme cloud e SaaS, dato il crescente interesse dei gruppi criminali verso dati sanitari di grande valore.
