Ein Anruf beim Helpdesk, keine Zero-Day-Lücke
McKessons größter Sicherheitsvorfall seit Jahren begann nicht mit einer Softwarelücke, sondern mit einem Anruf beim eigenen Helpdesk. Zwischen dem 21. und 25. August 2026 gab sich ein Angreifer als Mitarbeiter aus und überredete einen Support-Mitarbeiter, die Okta-Single-Sign-On-Zugangsdaten zurückzusetzen. Mit diesem Zugang erreichte er interne Salesforce- und Snowflake-Systeme und schleuste über vier Tage rund ein Terabyte an Daten hinaus.
McKesson, der größte US-Pharmagroßhändler, entdeckte den Einbruch am 25. August und meldete ihn am 28. August in einer Form-8-K-Mitteilung an die US-Börsenaufsicht SEC, dem üblichen Weg für einen Vorfall, den ein börsennotiertes Unternehmen als meldepflichtig einstuft. Die Erpressergruppe ShinyHunters bekannte sich noch in derselben Woche öffentlich dazu und gab Journalisten einen ersten Einblick in die angeblich erbeuteten Daten.
Was tatsächlich das Haus verlassen hat
Der gestohlene Datensatz umfasst, falls die Angaben von ShinyHunters zutreffen, den klinischen Kern einer Patientenakte, nicht nur eine Adressliste. Namen, Wohnadressen, Geburtsdaten, Sozialversicherungsnummern, Patienten- und Medicaid-Kennungen, Krankenaktennummern sowie Angaben zu Medikamenten, Allergien und behandelnden Ärzten werden in den Behauptungen der Gruppe genannt.
ShinyHunters beziffert die Zeilenzahl auf 284 Millionen, doch McKesson hat diese Zahl nicht bestätigt und auch nicht mitgeteilt, wie viele einzelne Patienten sie tatsächlich betrifft. Eine einzige Patientenakte kann über Jahre hinweg Dutzende Datenbankzeilen erzeugen, weshalb eine reine Zeilenzahl eine Obergrenze für die Dramatik ist, keine Untergrenze für die Zahl der tatsächlich betroffenen Menschen. McKesson erklärt, dies noch zu klären.
Eine Erpressungsforderung mit ungewöhnlicher Genauigkeit
ShinyHunters forderte innerhalb von 72 Stunden nach dem ersten Kontakt exakt 55.236.150 US-Dollar, eine Summe, die für ein rundes Eröffnungsgebot zu präzise ist. Erpressergruppen berechnen ihre Forderung zunehmend anhand der behaupteten Zeilenzahl, hier etwa 19 US-Cent pro Datensatz, was ein weiterer Grund ist, warum die tatsächliche Patientenzahl mehr zählt als die von den Angreifern verbreitete Schlagzeilenzahl.
McKesson hat nicht mitgeteilt, ob es sich auf die Frist eingelassen hat oder zahlen will. Börsennotierte Unternehmen bestätigen das nur selten, da eine Zahlung selbst zu einer eigenen Melde- und Aktionärsfrage neben dem Vorfall werden kann.
Eine Bande, drei verschiedene Türen
McKesson ist der dritte bestätigte ShinyHunters-Einbruch des Jahres 2026, und die Gruppe wählte jedes Mal einen anderen Weg hinein, was die eigentliche Lehre für jeden ist, der annimmt, eine einzelne Kontrolle könne diesen Akteur aufhalten.
| Unternehmen | Offengelegt | Zugangsweg | Offengelegte Daten | Forderung |
|---|---|---|---|---|
| RingCentral | 28. Juli 2026 (öffentlich 13. Aug) | Social Engineering gegen einen Mitarbeiter, Methode nicht offengelegt | 1,6 Millionen Kontaktdatensätze | Nicht bezahlt, 280GB veröffentlicht |
| Trezor (über ShipMonk) | 13. Aug 2026 | SQL-Injection im Metabase-Tool von ShipMonk | 11.742 vollständige, 1.947 teilweise Adressdatensätze | Erpresser-E-Mail, Betrag unbekannt |
| McKesson | 28. Aug 2026 | Per Anruf erschlichener Okta-Single-Sign-On-Reset | Bis zu 284 Millionen Rohdatensätze, Patientenzahl unbestätigt | 55.236.150 US-Dollar innerhalb von 72 Stunden |
Ein Anruf durchbrach McKessons Eingangstür, eine Softwarelücke die von ShipMonk, und ein nicht näher benanntes Social-Engineering-Vorgehen die von RingCentral. Mitarbeiter zu schulen, einem einzelnen Kanal zu misstrauen, schließt eine Tür und lässt die anderen genauso offen wie zuvor.
Was dieser Vorfall Ihrem eigenen System schuldet
Okta, Salesforce und Snowflake sind nicht speziell für McKesson gebaut, sondern bilden auch bei einem großen Teil europäischer Unternehmenssoftware die Identitäts-, Vertriebs- und Datenlager-Ebene. Das in diesem Vorfall beschriebene Risiko ist also ein Risiko der gesamten Software-Kette, nicht allein ein McKesson-Risiko. Jeder Helpdesk, der einen Single-Sign-On-Login allein per Anruf zurücksetzen kann, betreibt dieselbe offene Tür.
Ein Rückruf an eine bereits hinterlegte Nummer, ein zweiter Freigeber bei jedem Zugangsdaten-Reset und ein eingeschränkter Lesezugriff zwischen der Login-Ebene und dem dahinterliegenden Datenlager sind die drei Kontrollen, für die dieser Vorfall unmittelbar spricht. Keine davon taucht in einem gewöhnlichen SOC-2-Testat oder Lieferantenfragebogen auf, weshalb ein reiner Papier-Audit alle drei Vorfälle übersehen hätte.
Servola Journal
Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.
Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.
Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.
Weiterlesen: 8,7 Millionen Datensätze, ein Schlüssel für alle sichtbar | Rhysida besitzt jetzt Berlins Wasser-Schwachpunkte
