Der US-Gesundheitsriese McKesson hat einen Cybersicherheitsvorfall bestätigt, der unbefugten Zugriff auf Drittanbieteranwendungen und Datendiebstahl beinhaltet, während die Erpressungsgruppe ShinyHunters behauptet, etwa 284 Millionen Datensätze vom Unternehmen erhalten zu haben.
McKesson entdeckte den Vorfall am 25. August und legte ihn in einem Formular 8-K bekannt, das bei der US-Börsenaufsicht eingereicht wurde. Das Unternehmen erklärte, seine Untersuchung befinde sich noch in einem frühen Stadium und habe nicht festgestellt, dass der Angriff wesentlich oder wahrscheinlich wesentliche Auswirkungen auf seine finanzielle Lage oder operative Ergebnisse sein wird.
In den den Kunden bereitgestellten Informationen bestätigte McKesson, dass die Daten nach unbefugtem Zugriff auf Drittanbieteranwendungen exfiltriert wurden. Die betroffenen Anwendungen wurden öffentlich nicht identifiziert oder erklärt, wie der Zugriff erlangt wurde.
McKesson aktivierte nach der Entdeckung der Sicherheitslücke seine Vorfallreaktionsverfahren und holte externe Cybersicherheitsspezialisten hinzu, um bei der Untersuchung zu helfen. Basierend auf den derzeit verfügbaren Informationen erklärte das Unternehmen, dass Kunden keine Maßnahmen ergreifen müssen und dass es keine Systeme aktiv abschaltet.
ShinyHunters hat separat die Verantwortung übernommen und deutlich umfangreichere Vorwürfe über den Einbruch vorgelegt. Laut der Gruppe entspricht die Zahl von 284 Millionen einer ungefähren Anzahl von Datensätzen statt 284 Millionen einzigartiger Patienten.
Die Angreifer behaupten, dass die gestohlenen Informationen Namen, Adressen, Sozialversicherungsnummern, medizinische Unterlagen, Diagnosen, Rezeptinformationen und Abrechnungsdaten umfassen. ShinyHunters behauptet außerdem, dass besonders sensible Informationen zu unheilbaren Krankheiten, Todesursachen und sexueller Orientierung im gestohlenen Material enthalten sind.
Auch angeblich wurden Daten von Mitarbeitern, Ärzten und Kliniken sowie Kommunikation zwischen Ärzten und Patienten erhalten. McKesson hat diese spezifischen Behauptungen nicht bestätigt.
ShinyHunters behauptet, den ersten Zugang zu erhalten, indem sie mehrere McKesson-Mitarbeiter mit Voice-Phishing ins Visier genommen haben. Die Gruppe behauptet, dass kompromittierte Okta-Mitarbeiterkonten anschließend Zugang zu den Salesforce- und Snowflake-Umgebungen des Unternehmens gewährten.
Laut den Angreifern wurde zwischen dem 21. und 25. August etwa ein Terabyte an Informationen über vier Tage exfiltriert. ShinyHunters behauptet außerdem, umfangreichen Zugriff auf McKessons Salesforce-Umgebung erhalten zu haben, einschließlich Support-Fällen. Diese Details bleiben Behauptungen des Bedrohungsakteurs und wurden von McKesson nicht unabhängig bestätigt.
Die Gruppe gibt an, von McKesson 55.236.150 Dollar gefordert und dem Unternehmen 72 Stunden Zeit zur Antwort gegeben zu haben. ShinyHunters behauptet, McKesson habe weder geantwortet noch Verhandlungen aufgenommen.
McKesson ist einer der größten US-Händler von verschreibungspflichtigen Medikamenten und medizinischen Gütern und bietet zudem Gesundheitstechnologiedienstleistungen an. Das Unternehmen hat bisher nicht bekannt gegeben, wie viele Personen von dem Vorfall betroffen waren, noch bestätigt, ob die von ShinyHunters beschriebenen Patientendaten gestohlen wurden.