McKesson meldet Sicherheitsvorfall: ShinyHunters bekennt sich zu 284 Millionen durch Vishing gestohlenen Gesundheitsdatensätzen

Der Vorfall und die Entdeckung

Am 28. August 2026 informierte McKesson, einer der größten US-amerikanischen Pharma- und Gesundheitsdistributoren, über einen Cybersicherheitsvorfall. Das Unternehmen reichte ein Formular 8-K bei der SEC ein und gab bekannt, am 25. August einen unbefugten Zugriff auf Drittanbieteranwendungen mit anschließendem Datenabfluss festgestellt zu haben. Die Untersuchung befindet sich in einem frühen Stadium. McKesson erklärte, zum Zeitpunkt der Meldung nicht festgestellt zu haben, dass der Vorfall wesentlich ist oder wesentliche Auswirkungen auf die Finanzlage oder die Betriebsergebnisse hatte oder vernünftigerweise haben könnte. Offizielle Updates sind unter www.mckesson.com/cybersecurity verfügbar.

Ebenfalls am 28. August bekannte sich die kriminelle Gruppe ShinyHunters in einer Erklärung gegenüber BleepingComputer zu dem Angriff. McKesson hat das Bekenntnis weder bestätigt noch konkretisiert, welche Drittanbieteranwendungen kompromittiert wurden, welcher Zugangsvektor genutzt wurde oder welche Daten gestohlen wurden.

Die behauptete Angriffskette: Vishing, Okta, Salesforce und Snowflake

Laut ShinyHunters erfolgte der initiale Zugriff über Vishing, also Voice-Phishing, gegenüber mehreren McKesson-Mitarbeitenden. Die Gruppe gibt an, die Domain mckesson[.]claims verwendet zu haben, um den Helpdesk oder das IT-Team des Unternehmens zu imitieren. Diese Domain passt zu einer bereits dokumentierten Kampagne des Threat-Research-Teams von ReliaQuest, das .claims-Domains mit Namen oder Abkürzungen der Zielunternehmen genau zu diesem Zweck registriert hatte. Die Meldung erschien in einem später gelöschten Beitrag auf X.

Das Vishing soll zur Kompromittierung mehrerer Okta-Single-Sign-on-Konten von Mitarbeitenden geführt haben. Von dort aus hätten die Angreifer Zugriff auf die Umgebungen Salesforce und Snowflake erlangt. ShinyHunters behauptet, Salesforce vollständig kompromittiert zu haben, einschließlich der Support-Fälle, und aus Snowflake einen weit größeren Bestand von 284 Millionen Datensätzen mit Patientendaten abgezogen zu haben. Der Datenabfluss soll in vier Tagen, vom 21. bis 25. August 2026, erfolgt sein und insgesamt rund 1 TB an Daten umfassen.

McKesson hat zu dieser Abfolge bislang keine Details bestätigt. Genaue Produktversionen der betroffenen Systeme wurden nicht genannt.

Sensible Gesundheitsdaten und Lösegeldforderung in Höhe von 55 Millionen US-Dollar

ShinyHunters gibt an, dass die gestohlenen Daten Namen, Adressen, Geburtsdaten, Social Security Numbers, Patienten-IDs, Telefonnummern, E-Mail-Adressen, Medicaid-Nummern, Krankenaktennummern, Informationen zu Medikamenten und Allergien, Krankheiten, Behinderungen, Terminen sowie Daten der behandelnden Ärztinnen und Ärzte umfassen. Außerdem listet die Gruppe Daten zu verstorbenen oder unheilbar kranken Patientinnen und Patienten, Medikamentenverordnungen und -lieferungen, Rechnungen, Mitarbeiterdaten, Salesforce-Datensätze, interne Kommunikation sowie Informationen zu Anbietern oder Kliniken, die McKesson-Dienste nutzen.

Die Gruppe betont, dass es sich bei den 284 Millionen um eine rohe Zahl von Datensätzen oder Zeilen handelt, nicht um eindeutige Personen. Die Daten seien noch nicht analysiert, und die Zahl der betroffenen Einzelpersonen sei unbekannt. BleepingComputer hat diese Behauptungen nicht unabhängig verifiziert, und McKesson hat nicht offengelegt, was tatsächlich gestohlen wurde.

ShinyHunters gibt an, McKesson am 25. August 2026 nach Abschluss des Diebstahls kontaktiert und eine Lösegeldsumme von 55.236.150 US-Dollar mit einer Frist von 72 Stunden gefordert zu haben. Laut der Gruppe habe das Unternehmen weder geantwortet noch verhandelt.

McKessons Reaktion und offene Fragen zu den Auswirkungen

McKesson hat Incident-Response-Protokolle aktiviert, eine Untersuchung eingeleitet und Cybersicherheitsexpertinnen und -experten hinzugezogen. In einer Mitteilung an Kundinnen und Kunden bestätigte das Unternehmen die Beteiligung von Drittanbieteranwendungen sowie unbefugten Zugriff und Datenabfluss. Das Unternehmen warnte, dass es bei Kundinnen und Kunden zu zeitweiligen Beeinträchtigungen der Dienste kommen könne, die vermutlich mit dem Angriff zusammenhängen, stellte jedoch klar, dass es Systeme nicht proaktiv vom Netz nehme.

Spezifische technische Gegenmaßnahmen für Kundinnen und Kunden wurden nicht veröffentlicht. Unklar ist, welche Drittanbieteranwendungen kompromittiert wurden und ob Patientendaten tatsächlich in dem behaupteten Umfang abgeflossen sind. Die tatsächliche Zahl betroffener Einzelpersonen bleibt ungewiss.

Ein Angriff in einem Umfeld wachsenden Drucks auf das Gesundheitswesen

Der Angriff reiht sich in eine Welle von Datendiebstählen gegen Gesundheits- und Health-Tech-Organisationen ein, die ShinyHunters zugeschrieben werden. Health-ISAC warnte Gesundheitseinrichtungen kürzlich vor einer Zunahme von Social-Engineering-Angriffen, um Unternehmenskonten zu kompromittieren und Zugang zu Cloud- und SaaS-Plattformen zu erlangen. Weitere Gesundheitsunternehmen, die zuletzt ins Visier gerieten, sind Medtronic, DentaQuest, iRhythm, OneMedical und AdaptHealth.

Health-ISAC empfiehlt Gesundheitseinrichtungen, sich vor Vishing und Social Engineering zu schützen, .claims-Domains zu überwachen, die Helpdesks oder IT-Teams imitieren, und auf ungewöhnliche Zugriffe auf Okta, Salesforce und Snowflake zu achten. Es handelt sich nicht um eine Software-Schwachstelle mit einem Patch, sondern um eine Kompromittierung von Identitäten und Cloud-Zugängen. Unternehmen sollten Authentifizierungsprotokolle, Regeln für bedingten Zugriff und Meldungen von Beschäftigten zu verdächtigen Anrufen überprüfen.

Es ist nicht bekannt, ob McKesson einzelne Patientinnen, Patienten oder Beschäftigte bereits benachrichtigt hat. Wer mit McKesson zu tun hatte, sollte verdächtige Kommunikation, ungewöhnliche Kontobewegungen oder nicht veranlasste Kreditanfragen beobachten. Solange es jedoch keine öffentliche Bestätigung darüber gibt, welche Daten tatsächlich abgeflossen sind, ist es für eine Bewertung der individuellen Exposition zu früh.