Гигант фармацевтической дистрибуции только что стал новым именем в растущем списке американских компаний здравоохранения, пострадавших от хакеров, охотящихся за медицинскими записями пациентов. Утечка данных McKesson, раскрытая 28 августа 2026 года, уже привела к выдвижению требования выкупа на десятки миллионов долларов и поставила под угрозу конфиденциальную медицинскую информацию, потенциально касающуюся миллионов пациентов.
Summary
Ключевые моменты
- McKesson обнаружила несанкционированный доступ к сторонним приложениям 25 августа 2026 года и раскрыла инцидент в отчете в SEC.
- Группа вымогателей ShinyHunters утверждает, что похитила около 284 миллионов записей данных из сред Snowflake и Salesforce компании McKesson — цифра отражает строки в базе данных, а не подтвержденное количество уникальных пациентов.
- Хакеры заявляют, что использовали вишинг-звонки, чтобы обмануть сотрудников и захватить учетные записи единого входа Okta, после чего в течение четырехдневного окна с 21 по 25 августа переместились в облачные системы.
- ShinyHunters потребовали выкуп в размере 55 236 150 долларов и дали McKesson 72 часа на ответ; по сообщениям, компания так и не ответила.
- McKesson подтвердила периодическое ухудшение работы сервисов, но отказалась сообщить, сколько людей пострадало и какой выкуп был запрошен.
Утечка и заявления ShinyHunters
Собственное раскрытие информации McKesson было тщательно сформулировано и содержало мало деталей, но подтвердило суть истории: злоумышленники получили доступ к сторонним приложениям и выгрузили данные до того, как компания это обнаружила. Утечка данных McKesson была впервые зафиксирована внутри компании 25 августа 2026 года, и McKesson сообщила Комиссии по ценным бумагам и биржам, что расследование все еще «на ранней стадии», добавив, что пока не определено, является ли инцидент существенным с финансовой точки зрения.
Директор McKesson по информационным технологиям Франсиско Фрага сообщил клиентам, что подтвержденный несанкционированный доступ и эксфильтрация данных затронули «подмножество клиентов в наших бизнес-подразделениях Oncology & Multispecialty и Medical-Surgical». Он также сказал, что компания не отключает системы проактивно и не считает, что клиентам необходимо предпринимать какие-либо действия, хотя признал, что расследование продолжается.
Как хакеры проникли в систему
ShinyHunters, описываемая как одна из самых активных операций по вымогательству данных за последние два года, сообщила Bleeping Computer и TechCrunch, что получила доступ через голосовой фишинг — или вишинг — с помощью звонков, нацеленных на сотрудников McKesson. По словам группы, кампания опиралась на похожий домен mckesson[.]claims, созданный для имитации внутренней службы поддержки или ИТ-отдела компании — тактика, которая соответствует более широкой схеме, уже отслеживаемой исследователями из ReliaQuest в отношении нескольких организаций, ставших целью атак с использованием схемы именования «.claims».
После того как злоумышленники обманом заставили сотрудников передать учетные данные, они захватили учетные записи единого входа Okta. Оттуда, по словам ShinyHunters, они перешли в облачные среды Salesforce и Snowflake компании McKesson, где хранится основная часть данных о пациентах и бизнесе.
Что, по их словам, было украдено
Масштаб заявленного хищения — то, что делает этот инцидент особенно заметным. ShinyHunters сообщили Bleeping Computer, что за четыре дня, с 21 по 25 августа, они вывезли примерно один терабайт данных и что только среда Snowflake дала около 284 миллионов записей данных. Группа впоследствии уточнила, что это число отражает сырые строки базы данных, а не подтвержденное количество уникальных пациентов, и признала, что еще не полностью проанализировала добытые данные, чтобы определить, сколько людей в действительности в них представлено.
Это различие имеет значение. Оно означает, что истинный масштаб утечки данных McKesson остается по-настоящему неопределенным, даже по словам самих хакеров, и McKesson не представила собственную оценку.
Независимо от точного количества затронутых людей, категории якобы украденных данных обширны. ShinyHunters утверждает, что массив включает имена, домашние адреса, даты рождения, номера социального страхования, идентификаторы пациентов, номера телефонов, адреса электронной почты, номера Medicaid, номера медицинских карт, информацию о лекарствах и аллергиях, заболеваниях, инвалидности, деталях приемов и информацию о врачах. Группа также заявляет, что украденные файлы затрагивают умерших и неизлечимо больных пациентов, записи о рецептах и доставке лекарств, счета, внутреннюю переписку, а также информацию, связанную с поставщиками медицинских услуг и клиниками, использующими сервисы McKesson. TechCrunch сообщило, что проверило небольшую выборку утекших данных по открытым источникам, хотя ни одно из более широких утверждений не было независимо подтверждено внешними исследователями или самой McKesson.
Отдельно от записей пациентов хакеры заявляют, что информация о сотрудниках McKesson — включая домашние адреса — также была захвачена при эксфильтрации, расширив последствия за пределы клиентской базы компании.
Ультиматум на 55 миллионов долларов и реакция McKesson
Похоже, конечной целью здесь является не только кража, но и вымогательство. ShinyHunters сообщили Bleeping Computer, что связались с McKesson сразу после завершения кражи данных 25 августа и потребовали выкуп в размере ровно 55 236 150 долларов, дав компании 72 часа на ответ. По словам группы, McKesson вообще не вступила в переговоры по этому требованию.
Публично McKesson придерживается узкого сценария. Представитель компании Кристина Чанг сообщила TechCrunch, что компания «продолжает работать по всем направлениям бизнеса» и не считает, что внутри ее систем продолжается несанкционированная активность. Компания подтвердила, что клиенты могут столкнуться с периодическим ухудшением работы сервисов, связанным с инцидентом, но отказалась отвечать на конкретные вопросы о требовании выкупа или количестве людей, чьи данные были затронуты.
Это молчание само по себе примечательно. Почему это важно: когда компания, обрабатывающая данные пациентов в масштабах McKesson, не подтверждает, сколько людей пострадало, пациенты, поставщики услуг и регуляторы остаются в неведении относительно реального уровня риска — и эта неопределенность, как правило, сохраняется еще долго после того, как первые заголовки исчезают.
Расширяющийся паттерн кибератак на здравоохранение
McKesson — не изолированный случай, а последняя запись в быстро развивающейся волне атак на американские компании в сфере здравоохранения и медтеха. Всего неделю назад кибератака поразила производителя медицинских устройств Boston Scientific, вызвав значительные перебои в работе и отключив большую часть его сети, что отозвалось эхом более раннего инцидента у другого производителя устройств, Stryker, где хакеры злоупотребили внутренними инструментами, чтобы удаленно стереть данные с тысяч устройств сотрудников.
Abbott Laboratories и Medtronic также столкнулись с кибератаками в последние месяцы. Утечки данных затронули компанию в области медицинских технологий TriZetto и поставщика электронных медицинских карт CareCloud, каждая из которых затронула более 3 миллионов пациентов. Сама ShinyHunters также приписывает себе ответственность за взломы в Amazon-принадлежащей One Medical и стоматологическом страховщике DentaQuest, а также за атаки на Medtronic, iRhythm и AdaptHealth.
Health-ISAC уже предупредила организации здравоохранения о растущей волне атак ShinyHunters, построенных вокруг социальной инженерии, нацеленной на корпоративные учетные записи и облачные или SaaS-платформы — именно такой сценарий, по сообщениям, был использован против McKesson. Для отрасли, которая хранит одни из самых конфиденциальных персональных данных, повторение одного и того же паттерна «вишинг — взлом облака» говорит о том, что злоумышленники нашли метод, который стабильно работает, и кибератаки на здравоохранение, связанные с группами вроде ShinyHunters, не демонстрируют признаков замедления.
FAQ
Кто был ответственен за утечку данных McKesson?
Хакерская группа ShinyHunters взяла на себя ответственность за кибератаку, заявив, что получила доступ с помощью вишинг-звонков и социальной инженерии, нацеленной на сотрудников McKesson.
Какие данные были украдены в ходе кибератаки на McKesson?
ShinyHunters утверждает, что похитила около 284 миллионов записей данных, содержащих личную и защищенную медицинскую информацию, а также персональные данные сотрудников, такие как домашние адреса. Эта цифра отражает строки базы данных, а не подтвержденное количество уникальных пациентов.
Как хакеры получили доступ к системам McKesson?
По словам хакеров, вишинг-звонки обманом заставили сотрудников раскрыть учетные данные, которые затем были использованы для захвата учетных записей единого входа Okta. После этого злоумышленники перешли в размещенные в облаке среды Salesforce и Snowflake компании McKesson, чтобы извлечь данные.
Заплатила ли McKesson выкуп, требуемый хакерами?
McKesson отказалась раскрывать детали о какой-либо выплате выкупа. ShinyHunters утверждает, что потребовала 55 236 150 долларов с 72-часовым сроком и что McKesson так и не ответила на это требование.
{«@context»:»https://schema.org»,»@type»:»FAQPage»,»mainEntity»:[{«@type»:»Question»,»name»:»Кто был ответственен за утечку данных McKesson?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Хакерская группа ShinyHunters взяла на себя ответственность за кибератаку, заявив, что получила доступ с помощью вишинг-звонков и социальной инженерии, нацеленной на сотрудников McKesson.»}},{«@type»:»Question»,»name»:»Какие данные были украдены в ходе кибератаки на McKesson?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»ShinyHunters утверждает, что похитила около 284 миллионов записей данных, содержащих личную и защищенную медицинскую информацию, а также персональные данные сотрудников, такие как домашние адреса. Эта цифра отражает строки базы данных, а не подтвержденное количество уникальных пациентов.»}},{«@type»:»Question»,»name»:»Как хакеры получили доступ к системам McKesson?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»По словам хакеров, вишинг-звонки обманом заставили сотрудников раскрыть учетные данные, которые затем были использованы для захвата учетных записей единого входа Okta. После этого злоумышленники перешли в размещенные в облаке среды Salesforce и Snowflake компании McKesson, чтобы извлечь данные.»}},{«@type»:»Question»,»name»:»Заплатила ли McKesson выкуп, требуемый хакерами?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»McKesson отказалась раскрывать детали о какой-либо выплате выкупа. ShinyHunters утверждает, что потребовала 55 236 150 долларов с 72-часовым сроком и что McKesson так и не ответила на это требование.»}}]}
Статья подготовлена при содействии искусственного интеллекта и проверена редакционной командой.
