McKesson признала утечку данных после атаки ShinyHunters на 284 млн записей пациентов

Крупный американский дистрибьютор медицинских товаров и фармацевтики McKesson раскрыл информацию о кибератаке, в ходе которой злоумышленники получили несанкционированный доступ к сторонним приложениям и похитили данные. Ответственность за атаку взяла на себя вымогательская группировка ShinyHunters, заявившая о краже 284 миллионов записей о пациентах.

Что известно об инциденте

McKesson — крупная американская компания в сфере здравоохранения, поставляющая медикаменты, медицинские изделия, технологии и услуги для медицинских учреждений и аптек. Об утечке ранее в тот же день сообщил ресурс CyberInsider, после чего McKesson официально раскрыла инцидент в форме 8-K, направленной в Комиссию по ценным бумагам и биржам США (SEC).

По данным компании, инцидент был обнаружен 25 августа 2026 года, расследование находится на начальной стадии. В заявлении для SEC McKesson указала, что на момент подачи документа не установила, является ли инцидент существенным и повлияет ли он на финансовые показатели или результаты деятельности компании. Актуальную информацию об инциденте компания публикует на странице www.mckesson.com/cybersecurity.

В отдельном уведомлении для клиентов McKesson подтвердила, что атака затронула сторонние приложения и привела к несанкционированному доступу и краже данных. Компания сообщила, что немедленно активировала протоколы реагирования на инциденты, начала расследование и привлекла ведущих экспертов по кибербезопасности.

McKesson предупредила клиентов о возможных сбоях в работе сервисов, предположительно связанных с атакой, однако уточнила, что не проводит проактивное отключение систем в своей инфраструктуре. На данный момент компания не раскрыла, какие именно сторонние приложения были скомпрометированы, каким образом злоумышленники получили доступ и какие конкретно данные были украдены.

ShinyHunters берёт на себя ответственность

Группировка ShinyHunters сообщила изданию BleepingComputer, что атака была реализована с помощью голосового фишинга (вишинга) — социальной инженерии, направленной против нескольких сотрудников McKesson. Технических подробностей кампании злоумышленники не раскрыли, включая используемый домен, однако из другого источника изданию стало известно, что в атаке использовался домен mckesson[.]claims.

Этот домен соответствует кампании ShinyHunters, ранее описанной командой ReliaQuest Threat Research: группировка регистрирует домены в зоне .claims, включающие название или аббревиатуру компании-жертвы, чтобы имитировать сайты службы поддержки или IT-отдела. По данным ReliaQuest, такая масштабная кампания использует шаблон вида company[.]claims для маскировки под внутренние ресурсы атакуемых организаций.

По словам ShinyHunters, вишинг-атаки позволили скомпрометировать учётные записи единого входа (SSO) Okta нескольких сотрудников, которые затем были использованы для доступа к средам Salesforce и Snowflake компании. Группировка утверждает, что полностью скомпрометировала окружение Salesforce, включая обращения в службу поддержки, а также похитила значительно больший объём данных, связанных с пациентами, из хранилища Snowflake.

По заявлению злоумышленников, эксфильтрация около 1 ТБ данных происходила в течение четырёх дней — с 21 по 25 августа. ShinyHunters утверждает, что похищенные данные из Snowflake содержат приблизительно 284 миллиона записей, связанных с пациентами. При этом группировка уточнила BleepingComputer, что речь идёт о количестве строк данных, а не об уникальных пострадавших физлицах — эта цифра не означает, что утечка затронула 284 миллиона человек. Сами злоумышленники заявили, что ещё не провели полный анализ похищенных данных и не знают, сколько уникальных людей в них фигурирует.

Какие данные могли быть украдены

По утверждению ShinyHunters, украденная информация включает имена, адреса, даты рождения, номера социального страхования, идентификаторы пациентов, номера телефонов, адреса электронной почты, номера программы Medicaid, номера медицинских карт, сведения о лекарствах и аллергиях, заболеваниях, инвалидности, записях на приём и данные о лечащих врачах.

Группировка также заявляет, что среди похищенных данных есть информация об умерших и неизлечимо больных пациентах, сведения о рецептах и поставках медикаментов, счета, данные сотрудников, записи Salesforce, внутренняя корпоративная переписка, а также информация о медицинских учреждениях и клиниках, использующих услуги McKesson.

BleepingComputer не смогло самостоятельно подтвердить эти утверждения, а McKesson публично не раскрывала, какие именно данные были украдены.

Требование выкупа

По словам ShinyHunters, после завершения кражи данных 25 августа группировка связалась с McKesson и потребовала выкуп в размере $55 236 150, дав компании 72 часа на ответ. По утверждению злоумышленников, McKesson не ответила на требование и не вступала в переговоры о выплате выкупа.

Продолжающаяся волна атак на здравоохранение

Атака на McKesson стала частью продолжающейся серии атак с кражей данных, направленных на организации в сфере здравоохранения и медицинских технологий, которые связывают с группировкой ShinyHunters. Организация Health-ISAC ранее предупреждала медицинские учреждения о росте числа атак ShinyHunters, использующих социальную инженерию для компрометации корпоративных учётных записей и получения доступа к облачным и SaaS-платформам.

Среди других компаний из сферы медтехнологий, ставших жертвами недавних атак ShinyHunters с кражей данных, — Medtronic, DentaQuest, iRhythm, OneMedical и AdaptHealth.