Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
McKesson, tra i più grandi distributori farmaceutici degli Stati Uniti, ha divulgato il 28 agosto 2026 un incidente di sicurezza scoperto tre giorni prima. Il gruppo ShinyHunters ha rivendicato l'attacco, affermando di aver sottratto circa 284 milioni di record di dati sanitari in quattro giorni di permanenza nei sistemi. La richiesta di riscatto è di 55.236.150 dollari, con un termine di 72 ore che McKesson non ha risposto.
- McKesson ha scoperto l'incidente il 25 agosto e lo ha reso pubblico tramite un Form 8-K depositato presso la SEC il 28 agosto, senza però determinarne la materialità.
- ShinyHunters rivendica di aver usato vishing contro dipendenti per compromettere account Okta SSO, poi utilizzati per accedere a ambienti Salesforce e Snowflake.
- Il gruppo afferma di aver esfiltrato circa 1 TB di dati in quattro giorni, specificando che i 284 milioni sono record o linee di database, non individui unici.
- McKesson non ha confermato il metodo di attacco né quali applicazioni di terze parti siano state coinvolte, né ha divulgato categorie di dati esposti.
La disclosure SEC: obblighi e cautele
La comunicazione di McKesson segue il percorso obbligato delle società quotate. Il Form 8-K depositato il 28 agosto 2026 riporta la scoperta del 25 agosto e l'attivazione immediata dei protocolli di risposta agli incidenti, con l'ingaggio di esperti di cybersecurity esterni.
La formulazione è quella standard delle disclosure cautelative: «As of the date of this filing, the company has not determined that the incident is material or that the incident has had, or is reasonably likely to have, any material impact on the company, including its financial condition or results of operations». McKesson aggiunge, in un comunicato ai clienti citato da BleepingComputer, che «upon discovery, we immediately activated our incident response protocols, launched an investigation, and engaged leading cybersecurity industry experts to assist in our response».
Questa architettura comunicativa — disclosure immediata ma materialità differita — riflette la tensione tra gli obblighi della Securities and Exchange Commission e la lentezza delle indagini forensi. L'azienda deve informare il mercato entro quattro giorni lavorativi dalla scoperta di un evento significativo, ma la valutazione dell'impatto economico richiede tempi più lunghi.
La rivendicazione di ShinyHunters: vishing, SSO e cloud
Il gruppo ShinyHunters ha fornito a BleepingComputer una narrazione tecnica dettagliata, non verificata indipendentemente. Secondo la rivendicazione, l'ingresso è avvenuto tramite voice phishing — vishing — contro dipendenti McKesson, con conseguente compromissione di account Okta Single Sign-On.
Da lì, afferma il gruppo, gli account sono stati usati per accedere a ambienti Salesforce e Snowflake, dove risiedevano database sanitari. L'esfiltrazione sarebbe avvenuta tra il 21 e il 25 agosto 2026, in una finestra di quattro giorni stimata in circa 1 TB di volume.
Il dominio mckesson[.]claims è stato citato da una fonte anonima di BleepingComputer come elemento dell'attacco. Questa correlazione non è stata verificata indipendentemente. Il pattern — nome dell'organizzazione con estensione .claims — è stato documentato da ReliaQuest in una campagna più ampia di ShinyHunters, come riportato in un post su X successivamente eliminato.
L'Health-ISAC ha classificato questo schema come TTP ricorrente nel 2026: «SSO is the control plane, and ShinyHunters' leverage is created through data theft at cloud scale». La catena descritta è pura ingegneria sociale: nessun exploit tecnico confermato, ma la compromissione dell'identità come elemento centrale per muoversi tra piattaforme SaaS.
I numeri del riscatto e il problema dei record
ShinyHunters ha fissato il riscatto a 55.236.150 dollari, con una scadenza di 72 ore che è scaduta senza risposta da McKesson. Il gruppo non ha fornito spiegazione sul criterio di calcolo della cifra.
Il dato dei 284 milioni di record richiede decodifica: lo stesso ShinyHunters ha precisato a BleepingComputer che si tratta di record o linee di database, non di individui unici. CyberInsider ha ricevuto campioni di dati dal gruppo e li ha giudicati consistenti con le rivendicazioni, ma i campioni non sono stati sottoposti a verifica indipendente.
Questa distinzione è cruciale per il settore healthcare. Un singolo paziente può generare decine di record in sistemi diversi — prescrizioni, fatturazioni, visite specialistiche — per cui il numero di entità umane coinvolte è potenzialmente molto inferiore a 284 milioni. McKesson non ha divulgato né il numero di individui né le categorie di informazioni esposte.
284 milioni: record/linee di database rivendicati da ShinyHunters, non individui unici
Cosa cambia
L'incidente McKesson si inserisce in un pattern di attacchi ShinyHunters contro il settore sanitario nel 2026, documentato dall'Health-ISAC. Il metodo ricorrente — ingegneria sociale contro identità SSO, seguita da movimento laterale verso piattaforme cloud — sfrutta la centralizzazione delle architetture moderne.
McKesson non ha confermato il metodo di attacco né la compromissione di Okta, Salesforce o Snowflake. Le rivendicazioni di ShinyHunters restano non verificate su questi punti specifici. L'azienda ha attivato protocolli di risposta e indagini con esperti esterni, ma non ha divulgato quali applicazioni di terze parti siano state coinvolte.
La mancata determinazione di materialità nel Form 8-K lascia aperta la questione dell'impatto economico e regolatorio. La SEC potrà valutare se aggiornamenti successivi modifichino questa posizione.
Limiti di verificabilità
Questo articolo si basa principalmente su BleepingComputer come fonte primaria strutturata. Le rivendicazioni di ShinyHunters — inclusi il metodo vishing, la compromissione di account Okta, l'accesso a Salesforce e Snowflake, il volume di 1 TB e i 284 milioni di record — non sono state verificate indipendentemente. McKesson non ha confermato questi elementi.
Il dominio mckesson[.]claims è stato citato da una fonte anonima di BleepingComputer; questa correlazione non è stata verificata indipendentemente. I campioni di dati esaminati da CyberInsider provengono direttamente dall'attaccante, con rischio di selezione o manipolazione.
Le fonti secondarie — tech-insider.org, we-fix-pc.com, the420.in, cybernews.com — rielaborano o duplicano il contenuto di BleepingComputer senza aggiungere elementi originali di verifica. La fonte cyberinsider.com ha ricevuto campioni direttamente da ShinyHunters, con potenziale bias.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.bleepingcomputer.com/news/security/mckesson-discloses-breach-after-shinyhunters-claims-patient-data-theft/
- https://cyberinsider.com/mckesson-data-breach-exposing-284-million-patients/
- https://cybernews.com/news/mckesson-breached-shinyhunters-claims-284m-records/
- https://www.bleepingcomputer.com/news/security/health-isac-warns-of-rising-shinyhunters-data-theft-attacks-on-healthcare/
- https://tech-insider.org/mckesson-data-breach-shinyhunters-284-million-2026/
- https://we-fix-pc.com/2026/08/28/mckesson-discloses-breach-after-shinyhunters-claims-patient-data-theft/
- https://the420.in/mckesson-cyberattack-shinyhunters-patient-data-ransom/
- https://www.bleepingcomputer.com/news/security/medtronic-notifies-customers-impacted-by-shinyhunters-data-breach/
- https://www.bleepingcomputer.com/news/security/dentaquest-data-breach-exposed-info-of-26-million-accounts/
- https://www.bleepingcomputer.com/news/security/irhythm-discloses-data-breach-says-hackers-stole-patient-info/
- https://wiz.io/lp/ai-threat-readiness-playbook?utm_source=bleepingcomputer&utm_medium=display&utm_campaign=FY27Q2_INB_FORM_AI-Threat-Readiness-Playbook&sfcid=701Vh00000cnU0lIAE&utm_term=FY27-bleepingcomputer-article-970x250-August&utm_content=AITR-Playbook
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.