McKesson Corporation, uno de los mayores distribuidores farmacéuticos de los Estados Unidos, informó a la Comisión de Bolsa y Valores (SEC) que descubrió un incidente de ciberseguridad el pasado 25 de agosto. La compañía presentó los detalles en el formulario 8-K señalando que la investigación se encuentra en una etapa temprana y que, hasta la fecha de ese documento, no ha determinado que el hecho afecte sus resultados financieros.
El grupo de extorsión cibercriminal ShinyHunters se atribuyó el ataque y afirmó haber sustraído aproximadamente 284 millones de registros vinculados a pacientes desde un entorno de Snowflake de la empresa. Los atacantes aclararon posteriormente que esa cifra corresponde a líneas de datos y no a un número exacto de personas afectadas, ya que aún no han terminado de analizar la información robada.
Según el grupo, el acceso se logró mediante ataques de vishing (phishing por voz) contra empleados de McKesson, lo que les permitió comprometer cuentas de inicio de sesión único de la plataforma de gestión de identidad Okta. Con esas credenciales, los atacantes ingresaron a los entornos de Salesforce y Snowflake de la compañía y extrajeron cerca de 1 TB de datos entre el 21 y el 25 de agosto.
Un vocero de McKesson confirmó el incidente al medio Cyber Insider, indicando que la empresa “se encuentra en las primeras etapas de la investigación de un incidente de ciberseguridad que involucra aplicaciones de terceros y acceso no autorizado y filtración de datos. Tras su detección, activamos de inmediato nuestros protocolos de respuesta a incidentes, iniciamos una investigación y contactamos a destacados expertos en ciberseguridad”.
ShinyHunters afirmó al medio Bleeping Computer que los datos robados incluyen nombres, direcciones, números de Seguro Social, identificadores de pacientes, información médica, diagnósticos, medicamentos y datos de pacientes terminales o fallecidos. También habría registros de empleados, físicos y clínicas que usan los servicios de McKesson, aunque estas afirmaciones no han sido verificadas de forma independiente por los medios que las reportaron.
Los cibercriminales habrían exigido un pago de 55,2 millones de dólares dólares para no publicar los archivos sustraídos y dieron a McKesson un plazo de 72 horas para responder. De acuerdo con el grupo cibercriminal, la empresa no respondió ni negoció el monto exigido.
En su comunicado a clientes, McKesson explicó el alcance del hecho conocido hasta ahora, e indicó que «nuestra investigación sigue en curso, y estamos comprometidos a proporcionar información precisa y actualizaciones».
McKesson advirtió además que algunos clientes podrían experimentar degradación intermitente del servicio, presuntamente relacionada con el ataque, aunque aclaró que no ha desconectado proactivamente sistemas de su entorno. La empresa no ha revelado públicamente qué aplicaciones de terceros fueron comprometidas ni qué información específica fue robada.
Este ataque se suma a una ola reciente de incidentes de robo de datos contra organizaciones de salud atribuidos a ShinyHunters, que también han apuntado a otras compañías del sector sanitario y tecnológico en los últimos meses.
