McKesson confirma ataque; hackers piden 55M de rescate

McKesson Corporation, uno de los mayores distribuidores de productos sanitarios y farmacéuticos de Estados Unidos, informó que está investigando un incidente de ciberseguridad después de que el grupo extorsionador ShinyHunters afirmara haber robado una enorme cantidad de datos de pacientes. La empresa reveló la brecha en una presentación ante la Comisión de Bolsa y Valores de EE. UU. (SEC) el 28 de agosto de 2026, tres días después de detectarla.

Según investigadores de seguridad, los atacantes obtuvieron acceso mediante un esquema de vishing (phishing por voz), haciéndose pasar por el servicio de asistencia técnica de McKesson a través del dominio fraudulento "mckesson[.]claims" para engañar a empleados y obtener sus credenciales del sistema de inicio de sesión único Okta. Ese acceso habría permitido al grupo extraer cerca de 1 terabyte de datos de los entornos de Salesforce y Snowflake de McKesson entre el 21 y el 25 de agosto.

ShinyHunters asegura que los registros robados suman unos 284 millones de líneas —el grupo advirtió que se trata de un recuento bruto de entradas de datos y no de pacientes únicos— e incluyen nombres, direcciones, fechas de nacimiento, números de seguro social, identificaciones de pacientes y de Medicaid, diagnósticos, medicamentos, alergias, detalles de citas e información de médicos, además de registros de empleados.

El grupo exigió 55.236.150 dólares en un plazo de 72 horas para no publicar los archivos, un plazo que McKesson no cumplió. "McKesson se encuentra en las primeras etapas de la investigación de un incidente de ciberseguridad relacionado con aplicaciones de terceros y el acceso no autorizado y la exfiltración de datos", declaró la empresa, que añadió haber activado sus protocolos de respuesta a incidentes y haber contratado a expertos externos en ciberseguridad. McKesson afirmó que aún no ha determinado si el incidente es significativo para sus resultados financieros.

ShinyHunters ha sido vinculado a una serie de ataques a gran escala este año contra empresas que dependen de las plataformas en la nube de Salesforce y Snowflake, incluidos ataques recientes contra Manchester Airports Group y la marca de ropa Carhartt.