Un colosso della distribuzione farmaceutica americana, capace di gestire dati sanitari di milioni di pazienti, si ritrova al centro di uno dei casi più gravi di furto dati McKesson mai emersi negli Stati Uniti. Il gruppo di hacker ShinyHunters ha rivendicato la responsabilità dell’attacco informatico, sostenendo di aver sottratto 284 milioni di record legati a informazioni sanitarie e personali. McKesson ha confermato l’incidente, ma resta cauta sui dettagli più delicati della vicenda.
Summary
Punti chiave
- ShinyHunters ha rivendicato l’attacco informatico contro McKesson, dichiarando di aver rubato circa 284 milioni di record dati, per lo più righe di database e non necessariamente pazienti unici.
- Gli hacker sostengono di essere entrati tramite vishing e social engineering, compromettendo account Okta single sign-on di più dipendenti.
- Dai sistemi violati sono stati sottratti circa 1 terabyte di dati in quattro giorni, tra il 21 e il 25 agosto, dagli ambienti cloud Snowflake e Salesforce.
- Gli aggressori hanno chiesto un riscatto di 55.236.150 dollari, dando a McKesson 72 ore per rispondere: l’azienda non avrebbe mai replicato alla richiesta.
- McKesson ha confermato disservizi intermittenti nei sistemi, ma non ha voluto specificare quante persone siano state coinvolte né i dettagli del riscatto.
Violazione massiccia colpisce il gigante sanitario McKesson
McKesson, azienda con sede in Texas e uno dei principali distributori statunitensi di farmaci, forniture mediche e tecnologie per ospedali e operatori sanitari, ha confermato di aver scoperto l’attacco informatico sanità il 25 agosto 2026. Lo ha dichiarato in una comunicazione ufficiale e in un deposito presso la Securities and Exchange Commission, precisando che l’indagine interna è ancora nelle fasi iniziali e che al momento non risulta un impatto materiale sulle finanze o sulle operazioni aziendali.
ShinyHunters rivendica l’attacco informatico
Il gruppo hacker ShinyHunters, tra i collettivi di estorsione dati più attivi degli ultimi due anni, ha dichiarato a Bleeping Computer e a TechCrunch di essere responsabile della violazione. Secondo i criminali informatici, l’accesso è stato ottenuto ingannando diversi dipendenti McKesson attraverso tecniche di phishing e social engineering, uno schema d’attacco ricorrente per il gruppo.
Phishing e social engineering aprono la porta al cloud aziendale
Nel dettaglio, gli hacker avrebbero condotto attacchi di vishing, ossia telefonate ingannevoli, contro più dipendenti dell’azienda, riuscendo così a impossessarsi di account Okta single sign-on. Da lì, secondo quanto riportato, i criminali si sarebbero spostati verso gli ambienti Salesforce e Snowflake della società, sottraendo dati per circa quattro giorni consecutivi, dal 21 al 25 agosto. Una fonte ha inoltre segnalato l’uso del dominio mckesson[.]claims, coerente con una campagna già documentata dal team di ricerca ReliaQuest, che aveva individuato un modello di domini in stile “azienda.claims” utilizzato da ShinyHunters per impersonare help desk e team IT delle vittime.
Estensione e natura dei dati sottratti
Le informazioni rivendicate dagli hacker includono dati estremamente sensibili: nomi, indirizzi, date di nascita, numeri di previdenza sociale, ID pazienti, numeri Medicaid, numeri di cartella clinica, informazioni su farmaci e allergie, malattie, disabilità, appuntamenti e dati sui medici curanti. Il gruppo sostiene inoltre che tra i file trafugati ci siano informazioni relative a pazienti deceduti o in fase terminale, prescrizioni, spedizioni di farmaci, fatture, comunicazioni interne e dati su strutture sanitarie che collaborano con McKesson.
Milioni di righe di dati, ma il numero di pazienti reali resta incerto
Un punto importante riguarda l’interpretazione della cifra di 284 milioni: secondo quanto chiarito dagli stessi ShinyHunters, si tratta di un conteggio grezzo di righe di database, non del numero effettivo di persone coinvolte nel furto dati pazienti. Gli stessi hacker hanno ammesso di non aver ancora analizzato completamente il materiale sottratto e di non sapere quante persone uniche siano effettivamente presenti nei record.
Dati estratti dagli ambienti Snowflake e Salesforce
Secondo la rivendicazione del gruppo, l’ambiente Salesforce sarebbe stato compromesso integralmente, comprese le pratiche di assistenza clienti, mentre la raccolta più estesa di dati pazienti proverrebbe dall’ambiente Snowflake. Gli hacker hanno anche affermato che tra i file rubati ci sono informazioni personali dei dipendenti McKesson, inclusi indirizzi di residenza, insieme a record Salesforce interni. Nessuna di queste affermazioni è stata verificata in modo indipendente da McKesson, che non ha confermato pubblicamente quali dati specifici siano stati compromessi.
TechCrunch ha riferito di aver ricevuto screenshot e un campione dei dati rubati direttamente da ShinyHunters, verificando solo una piccola porzione del materiale rispetto a registri pubblici disponibili. Questo limite nella verifica indipendente resta un elemento centrale per valutare la reale portata della violazione dati cloud.
Impatto operativo e richiesta di riscatto
McKesson ha confermato che l’incidente sta causando disservizi intermittenti nei propri sistemi, pur precisando di non aver riscontrato attività non autorizzate in corso e di non aver disconnesso proattivamente le infrastrutture interessate. Francisco Fraga, Chief Information and Technology Officer dell’azienda, ha specificato che l’accesso non autorizzato e la sottrazione di dati riguarderebbero un sottoinsieme di clienti delle unità aziendali Oncology & Multispecialty e Medical-Surgical.
McKesson conferma i disservizi ma resta cauta sui dettagli
“Continuiamo a monitorare l’ambiente con attenzione e ad adottare misure per sostenere la sicurezza e l’affidabilità delle nostre operazioni”, ha dichiarato Fraga in una nota rivolta ai clienti. La portavoce Kristina Chang ha aggiunto che l’azienda “continua a operare in tutte le linee di business”, ribadendo che al momento non risultano attività non autorizzate in corso nei sistemi. McKesson non ha però risposto alle domande su quanti individui siano stati colpiti né su cosa sia stato effettivamente richiesto dagli aggressori.
La richiesta di riscatto da 55 milioni di dollari
Secondo quanto riportato da Bleeping Computer, ShinyHunters avrebbe contattato McKesson subito dopo aver completato il furto di dati, il 25 agosto, chiedendo un riscatto preciso di 55.236.150 dollari e concedendo all’azienda 72 ore per rispondere. Il gruppo ha dichiarato che McKesson non ha mai risposto né negoziato in merito alla richiesta riscatto McKesson. Questo silenzio aziendale, se confermato, segnerebbe una scelta comune tra le grandi corporation colpite da estorsioni digitali: non alimentare trattative con i cybercriminali, anche a costo di un’eventuale pubblicazione dei dati.
Perché conta questo dettaglio? Perché segna una linea di comportamento che altre aziende sanitarie potrebbero seguire, ma che lascia aperta la domanda su cosa accadrà ai dati sottratti se il riscatto non viene pagato. Nel frattempo, i pazienti coinvolti restano nell’incertezza su un’eventuale esposizione futura delle proprie informazioni sanitarie.
Un settore sanitario sotto assedio digitale
Il caso McKesson non è isolato. Negli ultimi mesi, diverse aziende sanitarie e produttori di dispositivi medici statunitensi sono stati colpiti da ondate simili di attacchi informatici. La settimana precedente, il produttore di dispositivi medici Boston Scientific ha subito un attacco che ha mandato offline gran parte della propria rete aziendale, con effetti paragonabili a un episodio avvenuto in precedenza presso Stryker, dove hacker avevano sfruttato strumenti interni per cancellare da remoto migliaia di dispositivi aziendali dei dipendenti.
Anche Abbott Laboratories e Medtronic hanno subito attacchi informatici nello stesso periodo, mentre il fornitore di cartelle cliniche elettroniche CareCloud e l’azienda di tecnologia sanitaria TriZetto hanno registrato violazioni che hanno coinvolto oltre 3 milioni di pazienti ciascuna. Un quadro che mostra come il settore sanitario americano sia diventato un obiettivo sistematico per i gruppi di estorsione digitale, complice l’enorme valore dei dati clinici sul mercato nero.
Lo schema ricorrente di ShinyHunters nel settore sanitario
ShinyHunters ha già rivendicato in passato violazioni di dati significative presso One Medical, di proprietà Amazon, e presso la compagnia di assicurazione dentale DentaQuest. Health-ISAC ha recentemente lanciato un allarme specifico sull’aumento degli attacchi del gruppo contro organizzazioni sanitarie, basati su tecniche di social engineering pensate per compromettere account aziendali e accedere a piattaforme cloud e SaaS. Tra le altre vittime recenti attribuite al gruppo figurano anche Medtronic, iRhythm e AdaptHealth, a conferma di un modus operandi che si ripete con costanza contro il settore.
Questo schema ripetuto solleva una domanda che va oltre il singolo episodio McKesson: quanto sono davvero pronte le infrastrutture cloud delle grandi aziende sanitarie a resistere a tecniche di ingegneria sociale sempre più sofisticate? L’uso di domini ingannevoli costruiti su misura per impersonare i reparti IT interni, come nel caso mckesson[.]claims, suggerisce un livello di pianificazione che va oltre l’attacco opportunistico, e che le sole difese tecniche perimetrali non bastano più a fermare.
FAQ
Chi è responsabile della violazione dati di McKesson?
Il gruppo hacker ShinyHunters ha rivendicato la responsabilità dell’attacco informatico, dichiarando di aver ottenuto l’accesso tramite tecniche di phishing e social engineering.
Che tipo di dati sono stati sottratti nell’attacco a McKesson?
Sono stati sottratti milioni di righe di dati contenenti informazioni personali e sanitarie protette dei pazienti, insieme a dati personali dei dipendenti come gli indirizzi di residenza.
Come hanno fatto gli hacker ad accedere ai sistemi di McKesson?
Secondo le dichiarazioni del gruppo, sono stati usati attacchi di vishing per ingannare i dipendenti e ottenere l’accesso agli account Okta single sign-on, sfruttati poi per entrare negli ambienti cloud Snowflake e Salesforce.
McKesson ha pagato il riscatto richiesto dagli hacker?
McKesson non ha reso pubblici i dettagli su un eventuale pagamento del riscatto e, secondo ShinyHunters, non avrebbe mai risposto alla richiesta di 55.236.150 dollari.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
