Brecha de datos de McKesson: hackers afirman haber robado 284 millones de registros y exigen US$55 millones

Una gran empresa de distribución farmacéutica se ha convertido en la más reciente organización de atención médica en Estados Unidos atacada por hackers que buscan registros de pacientes. La brecha de datos de McKesson, divulgada el 28 de agosto de 2026, ha dado lugar a una demanda de rescate supuestamente valuada en decenas de millones de dólares y ha generado preocupación por información médica sensible que podría afectar a millones de pacientes. Dado que McKesson ocupa una posición central en la cadena de suministro de atención médica, cualquier brecha que involucre sus datos comerciales y de pacientes tiene implicaciones no solo para la propia empresa, sino también para los proveedores, clínicas y clientes que dependen de sus servicios de distribución.

Puntos clave

McKesson detectó acceso no autorizado a aplicaciones de terceros el 25 de agosto de 2026 y divulgó el incidente en una presentación ante la SEC.

El grupo extorsivo ShinyHunters afirma haber robado aproximadamente 284 millones de registros de datos de los entornos Snowflake y Salesforce de McKesson, una cifra que representa filas de base de datos y no pacientes únicos confirmados.

Los hackers dicen que usaron llamadas de vishing para engañar a empleados y secuestrar cuentas de inicio de sesión único de Okta, y luego se movieron lateralmente a sistemas en la nube durante una ventana de cuatro días entre el 21 y el 25 de agosto.

ShinyHunters exigió un rescate de US$55,236,150 y dio a McKesson 72 horas para responder; según el grupo, la empresa nunca lo hizo.

McKesson confirmó una degradación intermitente del servicio, pero no dijo cuántas personas resultaron afectadas ni qué demanda de rescate recibió.

La brecha y las afirmaciones de ShinyHunters

La divulgación de McKesson fue breve y con pocos detalles, pero confirmó el punto central del incidente: intrusos accedieron a aplicaciones de terceros y extrajeron datos antes de que la empresa detectara la actividad. La brecha de datos de McKesson fue identificada internamente por primera vez el 25 de agosto de 2026, y la empresa informó a la Securities and Exchange Commission que su investigación seguía “en sus primeras etapas”. McKesson también indicó que aún no había determinado si el incidente era material desde el punto de vista financiero.

Francisco Fraga, director de información y tecnología de McKesson, dijo a los clientes que el acceso no autorizado confirmado y la exfiltración de datos afectaron “a un subconjunto de clientes dentro de nuestras unidades de negocio Oncology \u0026 Multispecialty y Medical-Surgical”. También señaló que la empresa no estaba desconectando sistemas de forma proactiva y que no creía que los clientes necesitaran tomar medidas, aunque reconoció que la investigación seguía en curso.

Cómo entraron los hackers

ShinyHunters, descrito como uno de los grupos más activos, utilizó el dominio similar mckesson[.]claims, creado para hacerse pasar por el servicio de ayuda interna o el equipo de TI de la empresa, una táctica que coincide con un patrón más amplio que investigadores de ReliaQuest ya venían siguiendo en múltiples organizaciones objetivo mediante el esquema de nombres “.claims”.

Según los hackers, usaron ingeniería social para engañar a empleados y obtener credenciales, y luego tomaron el control de cuentas de inicio de sesión único de Okta. A partir de ahí, ShinyHunters dice que se movió a los entornos en la nube de Salesforce y Snowflake de McKesson, donde se almacena gran parte de los datos de pacientes y negocios de la compañía.

Qué dicen haber robado

La escala del presunto robo es lo que hace que este caso destaque. ShinyHunters dijo a Bleeping Computer que exfiltró aproximadamente un terabyte de datos durante cuatro días, entre el 21 y el 25 de agosto, y que solo el entorno Snowflake produjo unos 284 millones de registros de datos. Más tarde, el grupo aclaró que esa cifra se refiere a filas brutas de base de datos y no a un recuento confirmado de pacientes únicos, y admitió que no había analizado por completo el material para determinar cuántas personas están representadas.

Esa distinción es importante. Significa que el alcance real de la brecha de datos de McKesson sigue siendo incierto, incluso según los propios hackers, y McKesson no ha publicado su propia estimación.

ShinyHunters afirma que el material robado incluye nombres, direcciones particulares, fechas de nacimiento, números de Seguro Social, identificadores de pacientes, números de teléfono, direcciones de correo electrónico, números de Medicaid, números de expediente médico, información sobre medicamentos y alergias, enfermedades, discapacidades, detalles de citas e información de médicos. El grupo también sostiene que los archivos incluyen registros relacionados con pacientes fallecidos y terminales, recetas y envíos de medicamentos, facturas, comunicaciones internas e información vinculada con proveedores de atención médica y clínicas que usan los servicios de McKesson. TechCrunch informó que verificó una pequeña muestra de los datos filtrados contra registros públicos, aunque las afirmaciones más amplias no han sido confirmadas de forma independiente por McKesson ni por investigadores externos.

Además de los registros de pacientes, los hackers dicen que también se llevaron información de empleados, incluidas direcciones particulares, ampliando el impacto más allá de la base de clientes de McKesson.

Un ultimátum de US$55 millones y la respuesta de McKesson

El ataque parece haber estado impulsado no solo por el robo, sino también por la extorsión. ShinyHunters dijo a Bleeping Computer que contactó a McKesson después de finalizar el robo de datos el 25 de agosto y exigió exactamente US$55,236,150, dando a la empresa un plazo de 72 horas para responder. Según el grupo, McKesson nunca respondió a la demanda.

Públicamente, McKesson ha mantenido una respuesta limitada. La portavoz Kristina Chang dijo a TechCrunch que la empresa “continúa operando en todas sus líneas de negocio” y señaló que McKesson no cree que haya actividad no autorizada en curso dentro de sus sistemas. La empresa confirmó que los clientes podrían experimentar una degradación intermitente del servicio vinculada al incidente, pero se negó a responder preguntas sobre la demanda de rescate o sobre el número de personas afectadas.

Esa falta de divulgación es significativa. Cuando una empresa que maneja datos de pacientes a la escala de McKesson no confirma cuántas personas podrían estar afectadas, pacientes, proveedores y reguladores quedan sin una imagen clara de la exposición, y esa incertidumbre puede persistir mucho después del informe inicial.

Un patrón creciente de ciberataques al sector salud

McKesson no es un caso aislado. Es la última entrada en una ola acelerada de ataques contra empresas de salud y tecnología médica en Estados Unidos. La semana pasada, un ciberataque golpeó al fabricante de dispositivos médicos Boston Scientific, causando una interrupción significativa y dejando fuera de línea gran parte de su red, tras un incidente anterior en Stryker, donde los hackers supuestamente usaron herramientas internas para borrar de forma remota miles de dispositivos de empleados.

Abbott Laboratories y Medtronic también han sufrido ciberataques en los últimos meses. Las brechas de datos han afectado a la firma de tecnología sanitaria TriZetto y al proveedor de historiales clínicos electrónicos CareCloud, cada uno con más de 3 millones de pacientes afectados. El propio ShinyHunters también se ha atribuido brechas en One Medical, propiedad de Amazon, y en la aseguradora dental DentaQuest, además de ataques a Medtronic, iRhythm y AdaptHealth.

Health-ISAC ya ha advertido a las organizaciones de salud sobre el aumento de ataques de ShinyHunters basados en ingeniería social dirigidos a cuentas corporativas y plataformas en la nube o SaaS, exactamente el mismo método que se alega en el caso de McKesson. Para una industria que almacena algunos de los datos personales más sensibles que existen, la repetición de este patrón de vishing seguido de intrusión en la nube sugiere que los atacantes han encontrado un método que funciona de forma consistente, y los ciberataques al sector salud vinculados a grupos como ShinyHunters no muestran señales de desaceleración.

Preguntas frecuentes

¿Quién fue responsable de la brecha de datos de McKesson?

El grupo de hackers ShinyHunters reclamó la responsabilidad del ciberataque y afirmó que obtuvo acceso mediante llamadas de vishing e ingeniería social dirigidas a empleados de McKesson.

¿Qué tipo de datos fueron robados en el ciberataque a McKesson?

ShinyHunters afirma haber tomado aproximadamente 284 millones de registros de datos que contenían información personal y de salud protegida, junto con datos personales de empleados como direcciones particulares. La cifra refleja filas de base de datos y no un número confirmado de pacientes únicos.

¿Cómo accedieron los hackers a los sistemas de McKesson?

Según los hackers, las llamadas de vishing engañaron a empleados para que entregaran credenciales, que luego se usaron para secuestrar cuentas de inicio de sesión único de Okta. Desde allí, los atacantes se movieron a los entornos en la nube de Salesforce y Snowflake alojados por McKesson para extraer datos.

¿McKesson pagó el rescate exigido por los hackers?

McKesson se negó a divulgar detalles sobre cualquier pago de rescate. ShinyHunters afirma que exigió US$55,236,150 con un plazo de 72 horas y que McKesson nunca respondió a la demanda.

Artículo producido con la asistencia de inteligencia artificial y revisado por el equipo editorial.