McKesson confirma acesso não autorizado; 284 milhões sob suspeita, mas sem prova de escala

O incidente envolve dois eixos distintos que precisam ser mantidos separados: o que a McKesson confirmou e o que o ShinyHunters alega. A empresa confirmou, via SEC e em nota a clientes, que houve acesso não autorizado e exfiltração de dados por meio de aplicações de terceiros. Ela não confirmou o número de registros, não confirmou a identidade do agressor e declarou que a investigação está em estágio inicial. Esses são os fatos. Tudo além disso é, por ora, alegação do ator.

O ShinyHunters descreveu ao BleepingComputer e à CyberInsider que o vetor de entrada foi vishing contra pelo menos dois funcionários da McKesson, comprometendo contas Okta SSO, e que a partir daí acessaram ambientes Salesforce e Snowflake. Esse padrão é consistente com o modus operandi documentado e rastreado pelo Microsoft Threat Intelligence, pela Huntress e pela push.security para o grupo ao longo de 2025-2026 — incluindo campanhas de device-code phishing via OAuth, exploração de integrações de terceiros (Salesloft, Gainsight) e abuso de tokens OAuth para mover-se lateralmente entre instâncias SaaS. A consistência técnica aumenta a credibilidade do vetor alegado, mas não confirma o volume de dados.

O número de 284 milhões merece ceticismo explícito. O próprio ShinyHunters admitiu ao BleepingComputer que se trata de uma contagem bruta de linhas — não de indivíduos únicos — e que o grupo ainda não concluiu a análise do dataset. Observadores independentes como o CyPro apontam que 284 milhões supera a população total dos Estados Unidos, sugerindo presença de registros históricos, duplicatas, dados de múltiplas transações por paciente, ou inflação deliberada da alegação. A McKesson opera o produto Compile, plataforma de dados de saúde agregados que consolida dados de claims comerciais, Medicare, Medicaid e EHR — o que torna tecnicamente plausível um banco de dados com centenas de milhões de linhas de transação envolvendo um número muito menor de indivíduos únicos. Nenhum número de indivíduos afetados foi confirmado.

A CyberInsider afirma ter revisado amostras fornecidas pelo ator que 'parecem consistentes' com as alegações. Isso eleva marginalmente a credibilidade do incidente real, mas não valida o volume: amostras são por definição selecionadas pelo ator e não permitem inferência sobre o total. Nenhum pesquisador independente validou o dataset completo.

A demanda de resgate de US$ 55,2 milhões não respondida pela McKesson aumenta o risco de publicação futura dos dados. O ShinyHunters tem histórico de efetivar vazamentos quando a negociação não avança — mas também tem histórico de inflar volumes para pressionar a negociação. O dado ausente mais crítico continua sendo: quantos indivíduos únicos estão no dataset, e qual é a natureza real dos sistemas comprometidos.

Do ponto de vista regulatório, a McKesson é coberta pela HIPAA como entidade de saúde e distribuidora de dados de pacientes. O prazo para notificação ao HHS/OCR em casos de breach com mais de 500 indivíduos é de 60 dias a partir da descoberta (25/08/2026), o que coloca o prazo em torno de 24 de outubro de

2026. Nenhuma manifestação do HHS/OCR foi encontrada até o momento da apuração. Escritórios de advocacia já iniciaram investigações de potenciais ações de classe, o que é padrão em incidentes de saúde desta magnitude alegada, mas não constitui evidência adicional do volume.

A McKesson é o backbone logístico e de dados de grande parte do sistema de saúde dos EUA, com 344 instalações de distribuição, aproximadamente 40.000 entregas diárias e plataformas de dados que agregam claims de múltiplos pagadores. Se os dados exfiltrados incluírem PHI (Protected Health Information) na escala alegada, o impacto potencial sobre pacientes abrange risco de identity theft, fraude de seguro, phishing direcionado e exposição de informações altamente sensíveis como diagnósticos, medicações, orientação sexual e dados de pacientes terminais. Contudo, o número real de indivíduos afetados permanece desconhecido — a McKesson anunciou que notificará as pessoas cujas informações possam ter sido comprometidas, mas ainda não o fez. O impacto financeiro direto foi declarado como ainda indeterminado no Form 8-K. Ações de classe já foram iniciadas por escritórios de advocacia, o que representa exposição jurídica adicional independentemente da escala final confirmada.