McKesson rivela una violazione: ShinyHunters rivendica 284 milioni di record sanitari rubati via vishing

L’incidente e la scoperta

Il 28 agosto 2026 McKesson, uno dei maggiori distributori farmaceutici e sanitari statunitensi, ha divulgato un incidente di sicurezza informatica. L’azienda ha depositato un Form 8-K presso la SEC e ha comunicato di aver rilevato il 25 agosto un accesso non autorizzato ad applicazioni di terze parti con conseguente esfiltrazione di dati. L’indagine è in fase iniziale. McKesson ha dichiarato che, alla data del deposito, non ha stabilito che l’incidente sia materiale o che abbia avuto, o possa ragionevolmente avere, un impatto materiale sulle condizioni finanziarie o sui risultati operativi. Gli aggiornamenti ufficiali sono disponibili su www.mckesson.com/cybersecurity.

Lo stesso 28 agosto, il gruppo criminale ShinyHunters ha rivendicato l’attacco in una dichiarazione a BleepingComputer. McKesson non ha confermato la rivendicazione né specificato quali applicazioni di terze parti siano state compromesse, quale vettore di accesso sia stato usato o quali dati siano stati rubati.

La catena d’attacco dichiarata: vishing, Okta, Salesforce e Snowflake

Secondo ShinyHunters, l’accesso iniziale è avvenuto tramite vishing, ovvero phishing vocale, contro più dipendenti McKesson. Il gruppo afferma di aver usato il dominio mckesson[.]claims per impersonare l’help desk o il team IT dell’azienda. Questo dominio coincide con una campagna già documentata dal team di threat research di ReliaQuest, che aveva registrato domini .claims contenenti nomi o abbreviazioni delle aziende bersaglio proprio per questo scopo. La segnalazione era apparsa in un post su X, poi cancellato.

Il vishing avrebbe portato alla compromissione di più account Okta single sign-on dei dipendenti. Da lì, gli attaccanti dichiarano di aver avuto accesso agli ambienti Salesforce e Snowflake. ShinyHunters sostiene di aver compromesso completamente Salesforce, inclusi i casi di supporto, e di aver sottratto da Snowflake una raccolta molto più ampia di 284 milioni di record di dati di pazienti. L’esfiltrazione sarebbe avvenuta in quattro giorni, dal 21 al 25 agosto 2026, per un totale di circa 1 TB di dati.

McKesson non ha confermato alcun dettaglio di questa sequenza. Le versioni esatte dei prodotti coinvolti non sono state rese note.

Dati sanitari sensibili e riscatto da 55 milioni di dollari

ShinyHunters afferma che i dati rubati includono nomi, indirizzi, date di nascita, Social Security number, ID paziente, numeri di telefono, email, numeri Medicaid, numeri di cartella clinica, informazioni su farmaci e allergie, malattie, disabilità, appuntamenti e dati dei medici. Il gruppo elenca anche dati su pazienti deceduti o terminali, prescrizioni e spedizioni di farmaci, fatture, dati dei dipendenti, record Salesforce, comunicazioni interne e informazioni sui fornitori o cliniche che usano i servizi McKesson.

Il gruppo precisa che i 284 milioni sono un conteggio grezzo di record o righe, non di individui unici. Non ha ancora analizzato i dati e non conosce il numero di persone uniche coinvolte. BleepingComputer non ha verificato in modo indipendente queste affermazioni e McKesson non ha rivelato cosa sia stato effettivamente rubato.

ShinyHunters dichiara di aver contattato McKesson il 25 agosto 2026, al termine del furto, chiedendo un riscatto di 55.236.150 dollari con 72 ore per rispondere. Secondo il gruppo, l’azienda non ha risposto né negoziato.

La risposta di McKesson e le incognite sull’impatto

McKesson ha attivato i protocolli di incident response, avviato un’indagine e ingaggiato esperti di cybersecurity. In una nota ai clienti ha confermato il coinvolgimento di applicazioni di terze parti e l’accesso ed esfiltrazione non autorizzati di dati. L’azienda ha avvertito che i clienti potrebbero subire un degrado intermittente dei servizi ritenuto correlato all’attacco, ma ha precisato di non stare disconnettendo proattivamente i sistemi.

Non sono state pubblicate mitigazioni tecniche specifiche per i clienti. Non è chiaro quali applicazioni di terze parti siano state compromesse, né se i dati dei pazienti siano stati effettivamente esfiltrati nella quantità dichiarata. La dimensione reale in individui unici resta incerta.

Un attacco in un contesto di crescente pressione sul settore sanitario

L’attacco rientra in un’ondata di furti di dati contro organizzazioni sanitarie e health-tech attribuiti a ShinyHunters. Health-ISAC ha recentemente avvertito le organizzazioni sanitarie dell’aumento di attacchi basati su social engineering per compromettere account aziendali e accedere a piattaforme cloud e SaaS. Altre aziende sanitarie prese di mira in attacchi recenti includono Medtronic, DentaQuest, iRhythm, OneMedical e AdaptHealth.

Per le organizzazioni sanitarie, Health-ISAC raccomanda di proteggersi contro vishing e social engineering, monitorare i domini .claims che impersonano help desk o team IT, e prestare attenzione ad accessi anomali su Okta, Salesforce e Snowflake. Non si tratta di una vulnerabilità software con patch da applicare, ma di una compromissione di identità e di accessi cloud. Le aziende dovrebbero verificare log di autenticazione, regole di accesso condizionale e segnalazioni dei dipendenti relative a chiamate sospette.

Non è noto se McKesson abbia già notificato i singoli pazienti o dipendenti coinvolti. Chi ha avuto rapporti con McKesson dovrebbe monitorare comunicazioni sospette, movimenti bancari o richieste di credito non riconosciute. Ma in assenza di conferme pubbliche sui dati effettivamente esfiltrati, è presto per valutare l’esposizione individuale.