El gigante sanitario estadounidense McKesson ha confirmado un incidente de ciberseguridad que involucra acceso no autorizado a aplicaciones de terceros y robo de datos, mientras que el grupo de extorsión ShinyHunters afirma haber obtenido aproximadamente 284 millones de registros de la empresa.
McKesson descubrió el incidente el 25 de agosto y lo reveló en un formulario 8-K presentado ante la Comisión de Bolsa y Valores de EE. UU. La empresa afirmó que su investigación aún está en una fase inicial y que no ha determinado que el ataque sea material ni susceptible de afectar materialmente su situación financiera ni sus resultados operativos.
En la información proporcionada a los clientes, McKesson confirmó que los datos fueron exfiltrados tras acceso no autorizado a aplicaciones de terceros. No ha identificado públicamente las aplicaciones afectadas ni ha explicado cómo se obtuvo el acceso.
McKesson activó sus procedimientos de respuesta a incidentes tras descubrir la brecha y contrató especialistas externos en ciberseguridad para ayudar en la investigación. Según la información disponible actualmente, la empresa afirmó que los clientes no necesitan tomar medidas y que no está desconectando activamente los sistemas.
ShinyHunters ha reivindicado la responsabilidad por separado y ha proporcionado acusaciones mucho más extensas sobre la intrusión. Según el grupo, la cifra de 284 millones representa un número aproximado de registros en lugar de 284 millones de pacientes únicos.
Los atacantes afirman que la información robada incluye nombres, direcciones, números de la Seguridad Social, historiales médicos, diagnósticos, información de prescripciones y datos de facturación. ShinyHunters también alega que en el material robado aparece información especialmente sensible relacionada con enfermedades terminales, causas de muerte y orientación sexual.
También se obtuvieron supuestamente datos pertenecientes a empleados, médicos y clínicas, junto con comunicaciones entre médicos y pacientes. McKesson no ha confirmado estas afirmaciones específicas.
ShinyHunters afirma que obtuvo el acceso inicial al atacar a varios empleados de McKesson con phishing por voz. El grupo alega que las cuentas comprometidas de Okta proporcionaron posteriormente acceso a los entornos Salesforce y Snowflake de la empresa.
Según los atacantes, aproximadamente un terabyte de información fue exfiltrado durante cuatro días entre el 21 y el 25 de agosto. ShinyHunters también afirma haber obtenido un acceso extenso al entorno Salesforce de McKesson, incluidos casos de soporte. Estos detalles siguen siendo afirmaciones del actor amenazante y no han sido confirmados de forma independiente por McKesson.
El grupo afirma que exigió 55.236.150 dólares a McKesson y dio a la empresa 72 horas para responder. ShinyHunters afirma que McKesson no respondió ni inició negociaciones.
McKesson es uno de los mayores distribuidores estadounidenses de medicamentos con receta y suministros médicos, y también ofrece servicios de tecnología sanitaria. La empresa aún no ha revelado cuántas personas se vieron afectadas por el incidente ni ha confirmado si las categorías de información de pacientes descritas por ShinyHunters fueron robadas.