Il colosso sanitario statunitense McKesson ha confermato un incidente di cybersecurity che coinvolge accesso non autorizzato ad applicazioni di terze parti e furto di dati, mentre il gruppo di estorsione ShinyHunters sostiene di aver ottenuto circa 284 milioni di record dall’azienda.
McKesson ha scoperto l’incidente il 25 agosto e lo ha reso pubblico in un modulo 8-K depositato presso la Securities and Exchange Commission degli Stati Uniti. La società ha dichiarato che la sua indagine è ancora in una fase iniziale e che non ha ancora stabilito che l’attacco sia stato rilevante o possa influenzare materialmente la sua situazione finanziaria o i risultati operativi.
Nelle informazioni fornite ai clienti, McKesson ha confermato che i dati sono stati estratti dopo un accesso non autorizzato ad applicazioni di terze parti. Non ha identificato pubblicamente le applicazioni interessate né spiegato come sia stato ottenuto l’accesso.
McKesson ha attivato le sue procedure di risposta agli incidenti dopo aver scoperto la violazione e ha coinvolto specialisti esterni in cybersecurity per assistere nell’indagine. Sulla base delle informazioni attualmente disponibili, l’azienda ha dichiarato che i clienti non devono intervenire e che non sta attivamente disconnettendo i sistemi.
ShinyHunters ha separatamente rivendicato la responsabilità e fornito accuse significativamente più estese sull’intrusione. Secondo il gruppo, la cifra di 284 milioni rappresenta un numero approssimativo di record piuttosto che 284 milioni di pazienti unici.
Gli aggressori sostengono che le informazioni rubate includano nomi, indirizzi, numeri di previdenza sociale, cartelle cliniche, diagnosi, informazioni sulle prescrizioni e dati di fatturazione. ShinyHunters sostiene inoltre che informazioni particolarmente sensibili riguardanti malattie terminali, cause di morte e orientamento sessuale compaiono nel materiale rubato.
Anche dati appartenenti a dipendenti, medici e cliniche, insieme a comunicazioni tra medici e pazienti, sarebbero stati raccolti. McKesson non ha confermato queste specifiche affermazioni.
ShinyHunters sostiene di aver ottenuto l’accesso iniziale prendendo di mira più dipendenti McKesson con phishing vocale. Il gruppo sostiene che gli account Okta compromessi abbiano successivamente fornito accesso agli ambienti Salesforce e Snowflake dell’azienda.
Secondo gli aggressori, circa un terabyte di informazioni è stato estratto in quattro giorni tra il 21 e il 25 agosto. ShinyHunters sostiene inoltre di aver ottenuto un ampio accesso all’ambiente Salesforce di McKesson, inclusi i casi di supporto. Questi dettagli rimangono affermazioni dell’attore minaccioso e non sono stati confermati in modo indipendente da McKesson.
Il gruppo afferma di aver chiesto 55.236.150 dollari a McKesson e di aver dato all’azienda 72 ore per rispondere. ShinyHunters sostiene che McKesson non abbia risposto né avviato negoziati.
McKesson è uno dei maggiori distributori statunitensi di farmaci prescritti e forniture mediche e fornisce anche servizi di tecnologia sanitaria. L’azienda non ha ancora rivelato quante persone siano state colpite dall’incidente né ha confermato se le categorie di informazioni sui pazienti descritte da ShinyHunters siano state rubate.