Gigant z branży ochrony zdrowia i farmacji, McKesson Corporation, bada poważny incydent cyberbezpieczeństwa po potwierdzeniu, że atakujący uzyskali nieautoryzowany dostęp do aplikacji podmiotów trzecich i skutecznie wykradli dane.
Incydent wykryto 25 sierpnia 2026 roku, a McKesson ujawniło go w formularzu 8-K złożonym w amerykańskiej Komisji Papierów Wartościowych i Giełd (SEC) trzy dni później. McKesson poinformowało, że dochodzenie jest we wstępnej fazie i nie ustalono jeszcze, czy incydent ma istotny wpływ na spółkę.
Sytuacja stała się znacznie poważniejsza, gdy odpowiedzialność za atak przypisała sobie grupa wymuszeniowa ShinyHunters.
Napastnicy twierdzą, że wykradli około 1 terabajta informacji zawierających około 284 miliony rekordów, i według doniesień zażądali ponad 55 milionów dolarów, grożąc opublikowaniem skradzionych materiałów, jeśli McKesson nie przystąpi do negocjacji do 1 września.
Ta nagłówkowa liczba wymaga jednak ważnego zastrzeżenia.
McKesson nie potwierdziło, że skradziono 284 miliony rekordów.
Co więcej, nawet według relacji samych atakujących 284 miliony to rekordy lub wiersze baz danych, a nie 284 miliony unikalnych pacjentów. Jedna osoba może występować wielokrotnie w receptach, terapiach, fakturach, wizytach lub innych zbiorach danych medycznych.
Co potwierdziło McKesson
Potwierdzona przez McKesson relacja jest znacznie węższa niż twierdzenia atakujących.
Firma podaje, że incydent obejmował:
- nieautoryzowany dostęp do niektórych aplikacji podmiotów trzecich
- potwierdzoną eksfiltrację danych
- podzbiór klientów w jej biznesie Oncology & Multispecialty
- podzbiór klientów w jej biznesie Medical-Surgical
McKesson nie potwierdziło publicznie, ilu osób dotyczy incydent ani jakie dokładnie informacje skradziono.
Firma twierdzi również, że ma uzasadnioną pewność, iż w jej systemach nie trwa już nieautoryzowana aktywność.
Jej centra dystrybucyjne nadal działają, zamówienia są przyjmowane, a produkty nadal przepływają przez sieć dystrybucyjną McKesson.
To rozróżnienie jest ważne.
Jest to potwierdzony wyciek danych, ale nie ustalono publicznie, że atakujący przejęli całą infrastrukturę korporacyjną McKesson ani zakłócili jej działalność w zakresie dystrybucji farmaceutyków.
Co według ShinyHunters zostało skradzione
Bardziej dramatyczne szczegóły pochodzą od ShinyHunters i pozostają niezweryfikowane.
Grupa podobno twierdzi, że około 284 miliony rekordów zawiera wysoce wrażliwe informacje obejmujące zarówno dane umożliwiające identyfikację osób (PII), jak i chronione informacje zdrowotne (PHI).
Atakujący mieli rzekomo twierdzić, że uzyskali dostęp do informacji takich jak:
- imiona i nazwiska oraz dane kontaktowe
- identyfikatory medyczne i pacjentów
- informacje medyczne i o leczeniu
- dane o receptach
- informacje rozliczeniowe
- informacje o pracownikach
- informacje dotyczące lekarzy i klinik
McKesson nie potwierdziło niezależnie tej listy.
Oznacza to, że opisywanie każdej z tych kategorii jako na pewno naruszonej byłoby przedwczesne.
Potwierdzonym faktem jest to, że dane zostały wykradzione.
Dokładna zawartość i liczba poszkodowanych osób pozostają przedmiotem dochodzenia.
284 miliony rekordów nie oznaczają 284 milionów pacjentów
To chyba najważniejsza korekta wczesnych doniesień o tym incydencie.
Niektóre nagłówki opisywały zdarzenie jako dotyczące 284 milionów pacjentów.
Obecnie nie ma dowodów potwierdzających taki wniosek.
ShinyHunters podobno opisało tę liczbę jako około 284 miliony surowych rekordów lub wierszy, a sama grupa wskazała, że nie ustaliła, ilu unikalnym osobom odpowiadają te rekordy.
Bazy danych medycznych rutynowo zawierają wiele rekordów dotyczących tej samej osoby.
Pojedynczy pacjent może mieć osobne wpisy dotyczące:
- recept
- terapii
- roszczeń
- kontaktów z placówkami ochrony zdrowia
- transakcji rozliczeniowych
- wizyt
- diagnoz
- badań laboratoryjnych
Zbiór danych zawierający setki milionów wierszy może więc reprezentować znacznie mniej unikalnych osób.
Dopóki McKesson nie zakończy dochodzenia, rzeczywista liczba ofiar pozostaje nieznana.
Jak rzekomo doszło do ataku?
McKesson nie ujawniło publicznie techniki początkowego dostępu atakującego.
ShinyHunters jednak podobno powiedziało dziennikarzom, że włamanie rozpoczęło się od phishingu głosowego, czyli vishingu, wymierzonego w pracowników McKesson.
Według relacji grupy napastnicy przekonali pracowników do udzielenia dostępu, który umożliwił przejęcie kont jednokrotnego logowania Okta.
Atakujący mieli następnie użyć tych legalnych tożsamości do uzyskania dostępu do środowisk chmurowych powiązanych z Salesforce i Snowflake i wykraść około 1 TB danych między 21 a 25 sierpnia.
Ponownie: ten łańcuch ataku nie został potwierdzony przez McKesson.
Opisywana metoda jest jednak zgodna z szerszym trendem widocznym w niedawnej aktywności ShinyHunters: atakujący koncentrują się na tożsamościach i aplikacjach chmurowych, zamiast wdrażać konwencjonalny ransomware na stacjach końcowych.
Zamiast wykorzystywać wysoce techniczną lukę zero-day, atakujący mogą przekonać pracownika, żeby ich uwierzytelnił.
Gdy przejmą kontrolę nad zaufaną tożsamością, legalne usługi chmurowe mogą stać się drogą do danych.
Dlaczego vishing wymierzony w konta chmurowe jest tak skuteczny
Tradycyjny phishing zwykle opiera się na złośliwych wiadomościach e-mail.
Vishing przenosi atak do rozmowy telefonicznej.
Atakujący może podszywać się pod:
- wsparcie IT
- pracownika help desku
- administratora
- innego pracownika
- zaufanego dostawcę
Celem jest często przekonanie ofiary do ujawnienia poświadczeń, zatwierdzenia prośby o logowanie, zresetowania uwierzytelniania lub przekazania informacji, które pomagają obejść zabezpieczenia tożsamości.
Może to być szczególnie skuteczne wobec systemów korzystających z jednokrotnego logowania (SSO).
Jeśli jedna przejęta tożsamość daje dostęp do wielu aplikacji SaaS, atakujący może nagle zyskać dostęp do dużej części środowiska chmurowego organizacji.
Oznacza to, że same silne hasła nie wystarczą.
Organizacje potrzebują mechanizmów, które potrafią wykryć moment, w którym legalna tożsamość zaczyna zachowywać się w nielegalny sposób.
Dlaczego dane medyczne są tak cenne
Informacje o zdrowiu należą do najbardziej wrażliwych kategorii danych osobowych.
W przeciwieństwie do hasła wielu elementów historii choroby po wycieku nie da się po prostu zmienić.
Potencjalnie ujawnione informacje mogą pozostać cenne przez lata.
W zależności od zawartości skradzionego zbioru danych przestępcy mogą próbować wykorzystać go do:
- kradzieży tożsamości
- ukierunkowanego phishingu
- oszustw ubezpieczeniowych
- medycznych oszustw tożsamościowych
- oszustw finansowych
- przejmowania kont
- szantażu lub wymuszeń
- wysoce spersonalizowanych ataków socjotechnicznych
Połączenie informacji medycznych i tożsamościowych może sprawić, że phishing będzie szczególnie przekonujący.
Atakujący, który zna czyjegoś dostawcę usług medycznych, historię leczenia lub przyjmowane leki, może stworzyć wiadomość, która wydaje się znacznie wiarygodniejsza niż ogólny phishingowy e-mail.
McKesson zajmuje kluczową pozycję w ochronie zdrowia
Incydent jest szczególnie ważny, ponieważ McKesson nie jest małym świadczeniodawcą usług medycznych.
To jedna z największych w Ameryce Północnej firm zajmujących się dystrybucją farmaceutyków i usługami dla ochrony zdrowia.
Jej działalność obejmuje dystrybucję farmaceutyków, usługi onkologiczne, produkty medyczno-chirurgiczne i technologie dla ochrony zdrowia.
McKesson odnotowało przychody ze sprzedaży farmaceutyków w Ameryce Północnej przekraczające 330 miliardów dolarów w samym roku obrotowym 2026, co ilustruje skalę organizacji i jej pozycję w łańcuchu dostaw ochrony zdrowia.
Incydent cyberbezpieczeństwa dotyczący organizacji o takiej skali może potencjalnie wpłynąć na dane powiązane z licznymi świadczeniodawcami usług medycznych i ich pacjentami, nawet jeśli główna sieć dystrybucji farmaceutyków nadal działa.
Żądanie okupu w wysokości 55 milionów dolarów
ShinyHunters podobno zażądało ponad 55 milionów dolarów i zagroziło opublikowaniem skradzionych danych, jeśli McKesson nie rozpocznie negocjacji do 1 września.
McKesson nie potwierdziło otrzymania żądania okupu i nie powiedziało, czy komunikowało się z atakującymi.
Firma nie oświadczyła też publicznie, czy zamierza zapłacić.
Według najnowszych publicznie dostępnych doniesień z 1 września nie było niezależnie zweryfikowanych dowodów na to, że deklarowany kompletny zbiór danych McKesson został upubliczniony.
Terminy w wymuszeniach są celowo projektowane tak, aby zwiększać presję na ofiary.
Atakujący wiedzą, że każda godzina niepewności może zwiększać obawy klientów, regulatorów, partnerów i inwestorów.
Ta presja sama staje się częścią ataku.
ShinyHunters coraz częściej atakuje ochronę zdrowia
McKesson nie jest też odosobnionym przypadkiem.
Health-ISAC ostrzegło sektor ochrony zdrowia przed rosnącą aktywnością ShinyHunters w zakresie kradzieży danych w lipcu i od tego czasu zwróciło uwagę na kolejne organizacje z branży ochrony zdrowia, które pojawiły się w deklaracjach grupy.
Health-ISAC opisuje ShinyHunters jako jedną z bardziej aktywnych grup zajmujących się kradzieżą danych i wymuszeniami i zauważa, że ten aktor zadeklarował wiele ofiar z sektora ochrony zdrowia.
Ma to znaczenie, ponieważ współczesne grupy wymuszeniowe nie zawsze potrzebują szyfrowania typowego dla ransomware.
Jeśli atakujący potrafią wykraść dostatecznie cenne informacje, same dane stają się środkiem nacisku.
Organizacja może nadal działać, a mimo to mierzyć się z bardzo poważnym wyciekiem.
Rosnące znaczenie wymuszeń bez szyfrowania
Tradycyjne ataki ransomware zwykle przebiegały według rozpoznawalnego schematu:
atakujący przejmują sieć, szyfrują serwery i żądają pieniędzy za klucz deszyfrujący.
Współczesne operacje wymuszeniowe coraz częściej w ogóle pomijają szyfrowanie.
Atakujący może zamiast tego:
- przejąć tożsamość;
- uzyskać dostęp do aplikacji chmurowych;
- po cichu wyprowadzić cenne informacje;
- opuścić środowisko;
- skontaktować się z ofiarą;
- zagrozić publicznym ujawnieniem.
Takie podejście ma dla atakujących zalety.
Może nie być oczywistego pliku wykonywalnego ransomware, który wykryłaby ochrona stacji końcowych.
Serwery nadal działają.
Użytkownicy mogą dalej pracować.
Pierwszą wyraźną oznaką naruszenia może być dopiero wiadomość z żądaniem okupu od atakującego.
Dlatego coraz większego znaczenia nabierają telemetria tożsamości, logi audytowe chmury i monitorowanie eksfiltracji danych.
Aplikacje podmiotów trzecich poszerzają obwód bezpieczeństwa
McKesson wyraźnie potwierdziło, że nieautoryzowana aktywność dotyczyła aplikacji podmiotów trzecich.
To kolejna ważna lekcja z tego incydentu.
Granice bezpieczeństwa przedsiębiorstwa nie kończą się już na firmowych laptopach i serwerach wewnętrznych.
Organizacje mogą zależeć od setek platform SaaS i systemów zewnętrznych przechowujących wrażliwe informacje.
Każda aplikacja wprowadza kolejną kombinację:
- tożsamości
- uprawnień
- interfejsów API
- integracji
- tokenów uwierzytelniania
- ról administracyjnych
- przechowywanych danych
Firma może utrzymywać silne zabezpieczenia stacji końcowych i mimo to doznać poważnego naruszenia, jeśli atakujący przejmą tożsamość z rozległym dostępem do aplikacji chmurowych.
Co powinny zrobić organizacje
Firmy, zwłaszcza z sektora ochrony zdrowia, powinny wykorzystać incydent McKesson jako okazję do przeglądu bezpieczeństwa tożsamości i SaaS.
✅ Wzmocnij MFA przeciwko socjotechnice. Tam, gdzie to możliwe, organizacje powinny stosować metody uwierzytelniania odporne na phishing, takie jak klucze bezpieczeństwa FIDO2 lub passkeys, zamiast metod, których zatwierdzenie użytkownicy łatwo dają się nakłonić.
✅ Chroń procesy help desku. Resetowanie haseł i MFA powinno wymagać silnej weryfikacji tożsamości. Atakujący coraz częściej celują w procesy wsparcia, bo czasem mogą one obejść techniczne zabezpieczenia.
✅ Monitoruj tożsamości w chmurze. Zespoły bezpieczeństwa powinny generować alerty o nietypowym dostępie geograficznym, nieznanych urządzeniach, nieoczekiwanych aplikacjach SaaS, podejrzanym tworzeniu sesji i nietypowym dostępie do danych.
✅ Przeglądaj uprzywilejowane konta SaaS. Dostęp administracyjny do platform takich jak CRM, hurtownie danych i dostawcy tożsamości powinien być ściśle kontrolowany.
✅ Ogranicz dostęp do danych. Pracownicy i konta usługowe powinni mieć dostęp wyłącznie do informacji potrzebnych w ich roli.
✅ Monitoruj masowe eksporty. Duże pobrania lub nietypowe zapytania API z Salesforce, Snowflake i podobnych systemów powinny generować alerty bezpieczeństwa.
✅ Unieważniaj sesje po podejrzeniu przejęcia. Zmiana hasła może nie unieważnić każdego aktywnego tokenu uwierzytelniania.
✅ Szkol pracowników w zakresie phishingu głosowego. Pracownicy potrzebują jasnych procedur postępowania w przypadku nieoczekiwanych próśb telefonicznych dotyczących haseł, monitów MFA lub resetowania kont.
✅ Audytuj aplikacje podmiotów trzecich. Organizacje powinny prowadzić dokładną inwentaryzację systemów SaaS, integracji i przepływów danych.
Na co powinny uważać osoby potencjalnie poszkodowane
McKesson twierdzi, że spodziewa się zapewnić bezpłatny monitoring kredytowy i usługi ochrony tożsamości odpowiednim partnerom, klientom i pacjentom, których informacje zostaną uznane za wykradzione.
Dopóki dochodzenie nie ustali, kogo dotyczy incydent, osoby fizyczne powinny zachować szczególną ostrożność wobec komunikatów odwołujących się do:
- recept
- leczenia onkologicznego
- rachunków medycznych
- roszczeń ubezpieczeniowych
- świadczeniodawców usług medycznych
- weryfikacji konta
- próśb o numer ubezpieczenia społecznego
- próśb o potwierdzenie danych osobowych
Atakujący często wykorzystują publiczne doniesienia o wyciekach, nawet jeśli sami nie mają skradzionych informacji.
Wiadomość wspominająca o wycieku z McKesson nie powinna więc automatycznie być uznawana za wiarygodną.
Każdą prośbę należy weryfikować za pomocą oficjalnych kanałów powiadamiania.
Co McKesson mówi o działalności operacyjnej
Jednym pozytywnym elementem jest to, że McKesson twierdzi, iż jego podstawowa działalność operacyjna trwa.
Centra dystrybucyjne nadal działają, klienci mogą korzystać z jego systemów, a produkty nadal są wysyłane.
McKesson twierdzi też, że ma uzasadnioną pewność, iż nieautoryzowana aktywność została zatrzymana.
Jednak powstrzymanie ataku i ocena skutków to odrębne etapy reagowania na incydenty.
Zatrzymanie atakującego nie rozstrzyga:
- do czego dokładnie uzyskał dostęp
- ile informacji skopiował
- ilu ludzi dotyczy incydent
- czy skradzione poświadczenia nadal można wykorzystać gdzie indziej
- czy informacje zostały już rozpowszechnione
Te kwestie są nadal badane.
Podsumowanie
Incydent w McKesson może stać się jednym z najpoważniejszych wycieków danych z sektora ochrony zdrowia w 2026 roku, ale jego prawdziwa skala nadal jest nieznana.
Potwierdzone fakty są już poważne: atakujący uzyskali dostęp do aplikacji podmiotów trzecich i skutecznie wykradli dane powiązane z klientami dwóch biznesów ochrony zdrowia McKesson.
Niezwykła liczba 284 milionów rekordów pochodzi jednak od ShinyHunters i nie należy jej mylić z 284 milionami potwierdzonych ofiar.
Podobnie deklarowany okup w wysokości 55 milionów dolarów, kategorie danych medycznych i rzekoma ścieżka ataku od vishingu przez Okta do chmury nie zostały jeszcze niezależnie zweryfikowane.
To rozróżnienie pozostanie ważne, gdy McKesson będzie kontynuować dochodzenie.
Niezależnie od ostatecznej liczby ofiar incydent pokazuje, jak ewoluują wymuszenia w ochronie zdrowia. Atakujący coraz częściej celują w ludzi, tożsamości i aplikacje chmurowe, po cichu kradną dane i zamiast zakłócać działalność tradycyjnym ransomware, wykorzystują groźbę ujawnienia.
Ochrona danych medycznych wymaga dziś czegoś więcej niż zabezpieczania serwerów. Organizacje muszą chronić tożsamości w chmurze, aplikacje podmiotów trzecich i ludzkie procesy, którymi atakujący mogą manipulować, by się do nich dostać.
