ShinyHunters visha a McKesson e rouba dados de pacientes oncológicos

A McKesson é a maior distribuidora farmacêutica dos EUA, movimentando cerca de um terço de todos os medicamentos prescritos no país. Seu perfil de dados — que agrega informações de farmácias, hospitais, consultórios e clínicas em escala nacional — torna qualquer comprometimento de seus sistemas de gestão de clientes especialmente grave. O incidente foi descoberto em 25 de agosto de 2026 e comunicado à SEC via Form 8-K em 28 de agosto, conforme exigido pela regra de divulgação de incidentes de cibersegurança da SEC.

O que a McKesson admite: acesso não autorizado a 'determinadas aplicações de terceiros' e exfiltração de dados associados a um subconjunto de clientes das divisões de Oncologia & Multiespecialidade e Cirurgia Médica. A empresa não identificou publicamente quais aplicações foram comprometidas, qual o volume de dados exfiltrado, nem confirmou o nome do ator responsável. Afirmou ter 'razoável garantia' de que não há atividade não autorizada em andamento e que seus centros de distribuição permanecem operacionais.

O que o ShinyHunters alega: entrada por vishing contra múltiplos funcionários, comprometimento de contas Okta SSO, pivô para os ambientes Salesforce e Snowflake da empresa, exfiltração de aproximadamente 1 TB de dados ao longo de quatro dias (21-25 de agosto). O grupo alega ter em posse 284 milhões de 'registros' — número que o próprio ShinyHunters qualificou como contagem bruta de linhas de banco de dados, não de pacientes únicos, e que ainda não havia sido completamente analisado. O grupo demandou US$ 55.236.150, não recebeu resposta e fixou 1 de setembro de 2026 como prazo para publicação. A BleepingComputer relatou que terceiros confirmaram o uso do domínio mckesson[.]claims no ataque, padrão documentado pelo ReliaQuest como tática recorrente do grupo.

O que a evidência técnica sustenta: o vetor de acesso inicial via vishing → Okta SSO → SaaS corporativo (Salesforce/Snowflake) é coerente com a campanha documentada pelo ReliaQuest e com o histórico de 2026 do ShinyHunters contra outras empresas de saúde (Medtronic, DentaQuest, iRhythm, OneMedical, AdaptHealth). O padrão de registrar domínios '.claims' com o nome da empresa alvo para se passar por helpdesk/TI está tecnicamente fundamentado. A ausência de criptografia de sistemas e a não-desconexão proativa de redes pela McKesson reforçam que este é um incidente de extorsão por roubo de dados — não ransomware clássico.

O que merece ceticismo: o número de 284 milhões de registros é a alegação de um ator com interesse direto em maximizar a percepção do seu poder de barganha. A própria admissão do grupo de que o número é uma estimativa de linhas de banco de dados, sem análise completa, é um sinal claro de inflação. A McKesson não confirmou nenhum número. A distância entre o alegado e o confirmado é, por ora, intransponível — e deve ser tratada como informação, não como ruído. A afirmação da empresa de que o incidente não é 'material' é uma avaliação financeira legal, não uma avaliação de impacto ao paciente: esses dados de oncologia têm potencial de dano individual grave independentemente da materialidade corporativa.

Contexto setorial: o ShinyHunters já atacou a ReliaQuest com a mesma técnica em 22 de agosto de 2026, obtendo acesso momentâneo a um único dashboard de identidade antes de ser contido por device-trust controls. Na McKesson, aparentemente os controles não contiveram o pivô para os ambientes de dados. Isso sugere que a McKesson não tinha device-trust ou políticas de acesso condicional equivalentes configuradas nos acessos Salesforce/Snowflake vinculados às contas Okta comprometidas — ou que as permissões dessas contas eram amplas demais.

O impacto confirmado afeta clientes das divisões de Oncologia & Multiespecialidade e Cirurgia Médica da McKesson. Os tipos de dado alegados pelo ShinyHunters incluem SSN, informações de saúde protegidas (PHI), dados de pacientes oncológicos (incluindo terminais e falecidos), prescrições, registros médicos e comunicações médico-paciente — categorias de dado com alto potencial de uso em fraude de identidade, fraude de plano de saúde e extorsão direcionada a pacientes. Intermitências de serviço foram relatadas como possivelmente vinculadas ao incidente, mas a McKesson confirmou em 29 de agosto que centros de distribuição e sistemas de pedidos permanecem operacionais. O volume real de pessoas afetadas é desconhecido; o número alegado pelo ator (284 milhões de registros) é quase certamente uma superestimativa de indivíduos únicos. Não há confirmação de que dados foram publicados até 31 de agosto de 2026.