Una llamada al soporte técnico, no un fallo de día cero
La mayor brecha de McKesson en años no comenzó con un fallo de software, sino con una llamada a su propio servicio de soporte. Entre el 21 y el 25 de agosto de 2026, un atacante que se hizo pasar por un empleado convenció a un agente de soporte de restablecer las credenciales de inicio de sesión único de Okta, y con ese acceso llegó a los sistemas internos de Salesforce y Snowflake, extrayendo aproximadamente un terabyte de datos a lo largo de cuatro días.
McKesson, el mayor distribuidor farmacéutico de Estados Unidos, descubrió la intrusión el 25 de agosto y la comunicó a la Comisión de Bolsa y Valores estadounidense el 28 de agosto mediante un formulario 8-K, la vía habitual para una brecha que una empresa cotizada considera lo bastante grave para declarar. El grupo extorsionista ShinyHunters reivindicó la autoría públicamente esa misma semana, dando a los periodistas una primera visión de lo que dice haber obtenido.
Lo que realmente salió de la empresa
El conjunto de datos robado, si las afirmaciones de ShinyHunters se confirman, cubre el núcleo clínico de un historial de paciente, no solo una lista de contactos. Nombres, direcciones, fechas de nacimiento, números de la seguridad social, identificadores de paciente y de Medicaid, números de historia clínica, y datos de medicación, alergias y médicos tratantes aparecen todos en las afirmaciones del grupo.
ShinyHunters cifra el número de filas en 284 millones, pero McKesson no ha confirmado esa cifra ni ha dicho a cuántos pacientes distintos corresponde. El historial de un solo paciente puede generar docenas de filas de base de datos a lo largo de años de visitas, así que una cifra bruta de filas es un techo para el dramatismo, no un suelo para el número real de personas afectadas; McKesson dice que todavía lo está determinando.
Una exigencia de rescate con una precisión extraña
ShinyHunters exigió exactamente 55.236.150 dólares en un plazo de 72 horas desde el primer contacto, una cifra demasiado precisa para ser una oferta inicial redonda. Los grupos de extorsión calculan cada vez más su exigencia a partir del número de filas reclamado, unos 19 céntimos de dólar por registro en este caso, otra razón por la que la cifra real de pacientes importa más que el número llamativo que eligieron publicar los atacantes.
McKesson no ha dicho si atendió el plazo ni si tiene intención de pagar. Las empresas cotizadas rara vez lo confirman, ya que el pago mismo puede convertirse en una cuestión de divulgación y de accionistas independiente de la brecha.
Una banda, tres puertas distintas
McKesson es la tercera brecha confirmada de 2026 vinculada a ShinyHunters, y el grupo usó una vía de entrada distinta cada vez, lo cual es la verdadera lección para quien asuma que un solo control puede detener a este actor.
| Empresa | Divulgado | Método de entrada | Datos expuestos | Exigencia |
|---|---|---|---|---|
| RingCentral | 28 jul 2026 (público 13 ago) | Ingeniería social a un empleado, método no revelado | 1,6 millones de registros de contacto | Sin pago, 280GB publicados |
| Trezor (vía ShipMonk) | 13 ago 2026 | Inyección SQL en la herramienta Metabase de ShipMonk | 11.742 registros completos, 1.947 parciales | Correo de extorsión, importe no revelado |
| McKesson | 28 ago 2026 | Restablecimiento de Okta obtenido por teléfono | Hasta 284 millones de registros en bruto, cifra de pacientes sin confirmar | 55.236.150 dólares en 72 horas |
Una llamada telefónica derribó la puerta principal de McKesson, un fallo de software la de ShipMonk, y un método de ingeniería social sin especificar la de RingCentral. Formar al personal para desconfiar de un solo canal cierra una puerta y deja las demás exactamente tan abiertas como antes.
Lo que este caso le debe a su propia infraestructura
Okta, Salesforce y Snowflake no son exclusivos de McKesson; sostienen también la capa de identidad, ventas y almacén de datos de buena parte del software empresarial europeo, así que la exposición que describe esta brecha es un riesgo de la cadena tecnológica, no solo un riesgo de McKesson. Cualquier soporte técnico que pueda restablecer un inicio de sesión único solo con una llamada mantiene abierta la misma puerta.
Una llamada de verificación a un número ya registrado, un segundo responsable que apruebe cualquier restablecimiento de credenciales, y un acceso de lectura limitado entre la capa de acceso y el almacén de datos que hay detrás son los tres controles que este incidente respalda directamente, y ninguno aparece en un informe SOC 2 habitual ni en un cuestionario de proveedores, razón por la cual una auditoría solo documental habría pasado por alto las tres brechas.
Servola Journal
Hacemos esto por todos los que intentan mantenerse al día con lo que la tecnología le está haciendo a nuestras vidas. Las personas que la construyen, y las personas a las que les ocurre. Servola Journal existe para que lo que aprendemos pertenezca a todos ellos.
Nadie nos paga por esto. Sin anuncios, sin muro de pago, gratis para todos. Simplemente creemos que entender lo que nos está pasando a todos no debería depender de quién pueda permitirse pagar por ello.
Si esto te dio algo hoy, dinos que sigamos adelante. Síguenos, deja un me gusta, o escribe un comentario positivo. Leemos cada uno, y son lo que nos mantiene en marcha.
Leer a continuación: 8,7 millones de registros, una clave a la vista | Rhysida ya tiene los puntos débiles del agua de Berlín
