Violazione dei dati di McKesson: gli hacker affermano di aver rubato 284 milioni di record e chiedono 55 milioni di dollari

Una grande azienda di distribuzione farmaceutica è diventata l’ultima organizzazione sanitaria statunitense presa di mira da hacker alla ricerca di dati dei pazienti. La violazione dei dati di McKesson, resa nota il 28 agosto 2026, ha portato a una richiesta di riscatto che, secondo quanto riportato, vale decine di milioni di dollari e ha sollevato preoccupazioni per informazioni mediche sensibili che potrebbero riguardare milioni di pazienti. Poiché McKesson occupa una posizione centrale nella filiera sanitaria, qualsiasi violazione che coinvolga i suoi dati aziendali e dei pazienti ha implicazioni non solo per la società stessa, ma anche per fornitori, cliniche e clienti che dipendono dai suoi servizi di distribuzione.

Punti chiave

McKesson ha rilevato un accesso non autorizzato ad applicazioni di terze parti il 25 agosto 2026 e ha divulgato l’incidente in un documento SEC.

Il gruppo estorsivo ShinyHunters sostiene di aver rubato circa 284 milioni di record di dati dagli ambienti Snowflake e Salesforce di McKesson — una cifra che rappresenta righe di database, non pazienti unici confermati.

Gli hacker affermano di aver usato chiamate di vishing per ingannare i dipendenti e di aver dirottato account Okta single sign-on, per poi muoversi lateralmente nei sistemi cloud nell’arco di quattro giorni tra il 21 agosto e il 25 agosto.

ShinyHunters ha chiesto un riscatto di $55,236,150 e ha dato a McKesson 72 ore per rispondere; secondo quanto riportato, l’azienda non lo avrebbe mai fatto.

McKesson ha confermato un degrado intermittente del servizio, ma ha rifiutato di dire quante persone siano state colpite o quale richiesta di riscatto abbia ricevuto.

La violazione e le affermazioni di ShinyHunters

La comunicazione di McKesson è stata breve e con pochi dettagli, ma ha confermato il punto centrale dell’incidente: gli intrusi hanno ottenuto accesso ad applicazioni di terze parti ed estratto dati prima che l’azienda si accorgesse dell’attività. La violazione dei dati di McKesson è stata individuata internamente per la prima volta il 25 agosto 2026 e la società ha riferito alla Securities and Exchange Commission che l’indagine era ancora “nelle fasi iniziali”. McKesson ha anche dichiarato di non aver ancora stabilito se l’incidente fosse finanziariamente rilevante.

Il chief information and technology officer di McKesson, Francisco Fraga, ha detto ai clienti che l’accesso non autorizzato confermato e l’esfiltrazione dei dati hanno riguardato “una parte dei clienti all’interno delle nostre business unit Oncology & Multispecialty e Medical-Surgical”. Ha inoltre affermato che l’azienda non stava scollegando proattivamente i sistemi e non riteneva che i clienti dovessero intervenire, pur precisando che l’indagine era ancora in corso.

Come sono entrati gli hacker

ShinyHunters, descritto come uno dei gruppi più attivi, ha usato un dominio simile, mckesson[.]claims, creato per impersonare l’help desk interno o il team IT dell’azienda. I ricercatori di ReliaQuest avevano già monitorato un più ampio schema di attacchi simili che utilizzavano il nome “.claims” contro diverse organizzazioni prese di mira.

Secondo gli hacker, hanno usato tecniche di social engineering per convincere i dipendenti a consegnare le credenziali, quindi hanno preso il controllo degli account Okta single sign-on. Da lì, ShinyHunters afferma di essersi spostato negli ambienti cloud Salesforce e Snowflake di McKesson, dove risiedono gran parte dei dati dei pazienti e dell’azienda.

Cosa dicono di aver rubato

La portata del presunto furto è ciò che distingue questo caso. ShinyHunters ha detto a Bleeping Computer di aver esfiltrato circa un terabyte di dati in quattro giorni, tra il 21 agosto e il 25 agosto, e che il solo ambiente Snowflake avrebbe prodotto circa 284 milioni di record. Il gruppo ha poi chiarito che questa cifra si riferisce a righe grezze del database e non a un conteggio confermato di pazienti unici, aggiungendo di non aver ancora analizzato completamente il materiale per determinare quante persone siano effettivamente rappresentate.

Questa distinzione è importante. Significa che l’effettiva portata della violazione dei dati di McKesson resta incerta, persino secondo gli stessi hacker, e McKesson non ha fornito una propria stima.

Al di là del numero esatto di interessati, le categorie di dati che si sostiene siano state rubate sono ampie. ShinyHunters afferma che il materiale include nomi, indirizzi di casa, date di nascita, numeri di Social Security, ID paziente, numeri di telefono, indirizzi email, numeri Medicaid, numeri di cartelle cliniche, informazioni su farmaci e allergie, malattie, disabilità, dettagli sugli appuntamenti e informazioni sui medici. Il gruppo sostiene inoltre che i file rubati includano dati di pazienti deceduti e terminali, registri di prescrizioni e spedizioni di medicinali, fatture, comunicazioni interne e informazioni relative a fornitori sanitari e cliniche che utilizzano i servizi di McKesson. TechCrunch ha riferito di aver verificato un piccolo campione dei dati divulgati con registri pubblici, anche se le affermazioni più ampie non sono state confermate in modo indipendente né da McKesson né da ricercatori esterni.

Oltre ai dati dei pazienti, gli hacker affermano che anche informazioni sui dipendenti — inclusi gli indirizzi di casa — sono state sottratte, ampliando l’impatto oltre la base clienti dell’azienda.

Un ultimatum da 55 milioni di dollari e la risposta di McKesson

L’attacco sembra essere stato guidato non solo dal furto, ma anche dall’estorsione. ShinyHunters ha detto a Bleeping Computer di aver contattato McKesson subito dopo aver concluso il furto dei dati il 25 agosto e di aver richiesto un riscatto preciso di $55,236,150, concedendo all’azienda 72 ore per rispondere. Secondo il gruppo, McKesson non avrebbe mai interagito con la richiesta.

Pubblicamente, McKesson ha mantenuto una risposta limitata. La portavoce Kristina Chang ha detto a TechCrunch che la società “continua a operare in tutte le linee di business” e ha affermato che McKesson non ritiene vi sia un’attività non autorizzata in corso nei propri sistemi. L’azienda ha confermato che i clienti potrebbero subire un degrado intermittente del servizio collegato all’incidente, ma ha rifiutato di rispondere a domande sulla richiesta di riscatto o sul numero di persone coinvolte.

Questa mancanza di trasparenza è significativa. Quando un’azienda che gestisce dati dei pazienti su scala McKesson non conferma quante persone possano essere colpite, pazienti, fornitori e regolatori restano senza un quadro chiaro dell’esposizione, e questa incertezza può persistere a lungo dopo il primo annuncio.

Un modello in espansione di attacchi informatici nel settore sanitario

McKesson non è un caso isolato. È l’ultimo episodio di una rapida ondata di attacchi contro aziende sanitarie e medtech statunitensi. Un cyberattacco ha colpito la scorsa settimana il produttore di dispositivi medici Boston Scientific, causando notevoli disagi e portando offline gran parte della sua rete, in linea con un precedente incidente avvenuto presso Stryker, dove gli hacker avrebbero usato strumenti interni per cancellare da remoto migliaia di dispositivi dei dipendenti.

Anche Abbott Laboratories e Medtronic hanno subito cyberattacchi negli ultimi mesi. Le violazioni dei dati hanno interessato la società di health tech TriZetto e il fornitore di cartelle cliniche elettroniche CareCloud, coinvolgendo ciascuna oltre 3 milioni di pazienti. Lo stesso ShinyHunters ha rivendicato anche violazioni ai danni di One Medical, di proprietà di Amazon, e dell’assicuratore dentistico DentaQuest, oltre ad attacchi contro Medtronic, iRhythm e AdaptHealth.

Health-ISAC ha già avvertito le organizzazioni sanitarie del crescente numero di attacchi di ShinyHunters basati sul social engineering contro account aziendali e piattaforme cloud o SaaS — esattamente la strategia che, secondo le accuse, sarebbe stata usata contro McKesson. Per un settore che custodisce alcuni dei dati personali più sensibili in assoluto, la ripetizione di questo schema vishing-to-cloud-breach suggerisce che gli aggressori abbiano trovato un metodo che funziona con costanza, e gli attacchi informatici nel settore sanitario legati a gruppi come ShinyHunters non mostrano segnali di rallentamento.

FAQ

Chi è responsabile della violazione dei dati di McKesson?

Il gruppo di hacker ShinyHunters ha rivendicato la responsabilità del cyberattacco, affermando di aver ottenuto l’accesso tramite chiamate di vishing e social engineering rivolti ai dipendenti McKesson.

Quali dati sono stati rubati nel cyberattacco a McKesson?

ShinyHunters afferma di aver preso circa 284 milioni di record contenenti informazioni personali e sanitarie protette, oltre a dati personali dei dipendenti come gli indirizzi di casa. La cifra riflette righe di database e non un numero confermato di pazienti unici.

Come hanno avuto accesso gli hacker ai sistemi di McKesson?

Secondo gli hacker, le chiamate di vishing hanno indotto i dipendenti a consegnare le credenziali, che sono state poi utilizzate per dirottare gli account Okta single sign-on. Da lì, gli aggressori si sono spostati negli ambienti cloud Salesforce e Snowflake ospitati da McKesson per estrarre i dati.

McKesson ha pagato il riscatto richiesto dagli hacker?

McKesson ha rifiutato di divulgare i dettagli relativi a eventuali pagamenti di riscatto. ShinyHunters sostiene di aver chiesto $55,236,150 con una scadenza di 72 ore e che McKesson non ha mai risposto alla richiesta.

Articolo realizzato con l’assistenza dell’intelligenza artificiale e revisionato dal team editoriale.