Naruszenie danych McKesson: hakerzy twierdzą, że skradziono 284 miliony rekordów i żądają 55 mln dolarów

Duża firma zajmująca się dystrybucją farmaceutyków stała się najnowszą amerykańską organizacją ochrony zdrowia zaatakowaną przez hakerów poszukujących danych pacjentów. Naruszenie danych McKesson, ujawnione 28 sierpnia 2026 roku, wywołało żądanie okupu opiewające na dziesiątki milionów dolarów i wzbudziło obawy o wrażliwe informacje medyczne, które mogą dotyczyć milionów pacjentów. Ponieważ McKesson znajduje się w centrum łańcucha dostaw ochrony zdrowia, każde naruszenie obejmujące dane biznesowe i pacjenckie ma znaczenie nie tylko dla samej spółki, ale także dla świadczeniodawców, klinik i klientów korzystających z jej usług dystrybucyjnych.

Najważniejsze informacje

McKesson wykrył nieautoryzowany dostęp do aplikacji firm trzecich 25 sierpnia 2026 roku i ujawnił incydent w zgłoszeniu do SEC.

Grupa przestępcza ShinyHunters twierdzi, że skradła około 284 miliony rekordów danych ze środowisk Snowflake i Salesforce McKesson — liczba ta odnosi się do wierszy bazy danych, a nie potwierdzonej liczby unikalnych pacjentów.

Hakerzy twierdzą, że użyli połączeń vishingowych, aby oszukać pracowników i przejąć konta jednokrotnego logowania Okta, a następnie poruszali się lateralnie po systemach chmurowych przez cztery dni, między 21 a 25 sierpnia.

ShinyHunters zażądało okupu w wysokości 55 236 150 dolarów i dało McKesson 72 godziny na odpowiedź; według doniesień spółka w ogóle nie odpowiedziała.

McKesson potwierdził okresowe pogorszenie jakości usług, ale odmówił podania, ile osób dotyczył incydent oraz jakiego żądania okupu dotyczyła sprawa.

Naruszenie i twierdzenia ShinyHunters

Własne ujawnienie McKesson było krótkie i mało szczegółowe, ale potwierdziło sedno sprawy: intruzi uzyskali dostęp do aplikacji firm trzecich i wyprowadzili dane, zanim spółka wykryła aktywność. Naruszenie danych McKesson zostało po raz pierwszy wykryte wewnętrznie 25 sierpnia 2026 roku, a spółka poinformowała Securities and Exchange Commission, że dochodzenie pozostaje „na wczesnym etapie”. McKesson dodał również, że nie ustalił jeszcze, czy incydent miał istotny wpływ finansowy.

Dyrektor ds. informacji i technologii McKesson, Francisco Fraga, przekazał klientom, że potwierdzony nieautoryzowany dostęp i eksfiltracja danych dotyczyły „części klientów w naszych jednostkach Oncology & Multispecialty oraz Medical-Surgical”. Dodał też, że spółka nie odłączała systemów prewencyjnie i nie uważa, by klienci musieli podejmować jakiekolwiek działania, choć podkreślił, że dochodzenie nadal trwa.

Jak hakerzy dostali się do środka

ShinyHunters, opisywane jako jedna z najbardziej aktywnych grup target="_self">lookalike domain, mckesson[.]claims, stworzona w celu podszywania się pod wewnętrzny dział pomocy technicznej lub zespół IT spółki. Badacze z ReliaQuest już wcześniej monitorowali szerszy wzorzec podobnych ataków wykorzystujących schemat nazewnictwa „.claims” wobec wielu organizacji będących celem.

Według hakerów użyli oni inżynierii społecznej, aby nakłonić pracowników do ujawnienia poświadczeń, a następnie przejęli konta jednokrotnego logowania Okta. Stamtąd ShinyHunters twierdzi, że przeniosło się do środowisk chmurowych Salesforce i Snowflake McKesson, gdzie przechowywana jest większość danych pacjentów i danych biznesowych spółki.

Co według nich zostało skradzione

Skala domniemanego wycieku sprawia, że sprawa wyróżnia się na tle innych. ShinyHunters powiedziało Bleeping Computer, że w ciągu czterech dni, między 21 a 25 sierpnia, wyeksfilrowało około jednego terabajta danych, a samo środowisko Snowflake miało dostarczyć około 284 milionów rekordów danych. Grupa później doprecyzowała, że liczba ta odnosi się do surowych wierszy bazy danych, a nie do potwierdzonej liczby unikalnych pacjentów, i przyznała, że nie przeanalizowała jeszcze w pełni pozyskanego materiału, aby ustalić, ile osób jest w nim faktycznie reprezentowanych.

To rozróżnienie ma znaczenie. Oznacza, że rzeczywisty zakres naruszenia danych McKesson pozostaje niepewny, nawet według samych hakerów, a McKesson nie przedstawił własnej szacunkowej liczby.

Niezależnie od dokładnej liczby osób, kategorie rzekomo skradzionych danych są szerokie. ShinyHunters twierdzi, że wśród danych znalazły się imiona i nazwiska, adresy zamieszkania, daty urodzenia, numery Social Security, identyfikatory pacjentów, numery telefonów, adresy e-mail, numery Medicaid, numery dokumentacji medycznej, informacje o lekach i alergiach, chorobach, niepełnosprawnościach, terminach wizyt oraz dane lekarzy. Grupa twierdzi również, że skradzione pliki obejmują dane dotyczące zmarłych i nieuleczalnie chorych pacjentów, recepty i rejestry wysyłek leków, faktury, komunikację wewnętrzną oraz informacje związane z dostawcami usług medycznych i klinikami korzystającymi z usług McKesson. TechCrunch podał, że zweryfikował niewielką próbkę ujawnionych danych w rejestrach publicznych, choć szersze twierdzenia nie zostały niezależnie potwierdzone przez McKesson ani zewnętrznych badaczy.

Oprócz danych pacjentów hakerzy twierdzą, że przejęli także informacje o pracownikach McKesson — w tym adresy zamieszkania — co rozszerza skutki incydentu poza bazę klientów spółki.

Ultimatum na 55 mln dolarów i reakcja McKesson

Wygląda na to, że celem ataku nie była wyłącznie kradzież, ale także wymuszenie. ShinyHunters powiedziało Bleeping Computer, że po zakończeniu kradzieży danych 25 sierpnia skontaktowało się z McKesson i zażądało dokładnie 55 236 150 dolarów okupu, dając spółce 72 godziny na odpowiedź. Według grupy McKesson w ogóle nie podjął rozmów w tej sprawie.

Publicznie McKesson utrzymuje bardzo ograniczony przekaz. Rzeczniczka Kristina Chang powiedziała TechCrunch, że spółka „nadal prowadzi działalność we wszystkich liniach biznesowych” i stwierdziła, że McKesson nie uważa, by w jej systemach trwała obecnie nieautoryzowana aktywność. Spółka potwierdziła, że klienci mogą doświadczać okresowych zakłóceń usług związanych z incydentem, ale odmówiła odpowiedzi na pytania dotyczące żądania okupu oraz liczby osób, których dane zostały naruszone.

Taka powściągliwość sama w sobie jest istotna. Dlaczego to ważne: gdy spółka przetwarzająca dane pacjentów na skalę McKesson nie potwierdza, ile osób może być dotkniętych incydentem, pacjenci, świadczeniodawcy i regulatorzy pozostają bez jasnego obrazu ekspozycji — a ta niepewność zwykle utrzymuje się długo po zniknięciu pierwszych nagłówków.

Rosnący wzorzec cyberataków na sektor ochrony zdrowia

McKesson nie jest odosobnionym przypadkiem — to najnowszy element szybko narastającej fali ataków na amerykańskie firmy z sektora ochrony zdrowia i medtech. Tydzień temu cyberatak uderzył w producenta urządzeń medycznych Boston Scientific, powodując znaczące zakłócenia i odcinając dużą część jego sieci, co przypomina wcześniejszy incydent u innego producenta urządzeń, Stryker, gdzie hakerzy mieli nadużyć wewnętrznych narzędzi do zdalnego usunięcia tysięcy urządzeń pracowniczych.

Abbott Laboratories i Medtronic również doświadczały cyberataków w ostatnich miesiącach. Naruszenia danych dotknęły firmę health tech TriZetto oraz dostawcę elektronicznej dokumentacji pacjentów CareCloud, w obu przypadkach obejmując ponad 3 miliony pacjentów. Sama grupa ShinyHunters przypisała sobie również odpowiedzialność za włamania do One Medical należącego do Amazon oraz ubezpieczyciela stomatologicznego DentaQuest, a także ataki na Medtronic, iRhythm i AdaptHealth.

Health-ISAC już wcześniej ostrzegał organizacje ochrony zdrowia przed rosnącą liczbą ataków ShinyHunters opartych na inżynierii społecznej, wymierzonych w konta firmowe oraz platformy chmurowe lub SaaS — dokładnie według takiego scenariusza, jaki rzekomo zastosowano wobec McKesson. W branży przechowującej jedne z najbardziej wrażliwych danych osobowych powtarzający się schemat od vishingu do włamania do chmury sugeruje, że atakujący znaleźli metodę, która konsekwentnie działa, a cyberataki na ochronę zdrowia powiązane z grupami takimi jak ShinyHunters nie wykazują oznak spowolnienia.

FAQ

Kto odpowiada za naruszenie danych McKesson?

Grupa hakerska ShinyHunters przyznała się do odpowiedzialności za cyberatak, twierdząc, że uzyskała dostęp dzięki połączeniom vishingowym i inżynierii społecznej skierowanej przeciw pracownikom McKesson.

Jakie dane zostały skradzione w cyberataku na McKesson?

ShinyHunters twierdzi, że przejęto około 284 milionów rekordów danych zawierających dane osobowe i chronione informacje zdrowotne, a także dane osobowe pracowników, takie jak adresy zamieszkania. Liczba ta odnosi się do wierszy bazy danych, a nie do potwierdzonej liczby unikalnych pacjentów.

W jaki sposób hakerzy uzyskali dostęp do systemów McKesson?

Według hakerów połączenia vishingowe skłoniły pracowników do ujawnienia poświadczeń, które następnie wykorzystano do przejęcia kont jednokrotnego logowania Okta. Stamtąd atakujący przenieśli się do chmurowych środowisk Salesforce i Snowflake McKesson, aby wyeksportować dane.

Czy McKesson zapłacił okup żądany przez hakerów?

McKesson odmówił ujawnienia szczegółów dotyczących ewentualnej płatności okupu. ShinyHunters twierdzi, że zażądało 55 236 150 dolarów z terminem 72 godzin i że McKesson nie odpowiedział na żądanie.

Artykuł został przygotowany z wykorzystaniem sztucznej inteligencji i zweryfikowany przez zespół redakcyjny.