Una Chiamata all'Assistenza, non una Falla Zero-Day
La più grande violazione di McKesson degli ultimi anni non è iniziata con una falla del software, ma con una telefonata alla propria assistenza. Tra il 21 e il 25 agosto 2026, un aggressore che si spacciava per un dipendente ha convinto un operatore a resettare le credenziali di accesso unico Okta, per poi usare quell'accesso per raggiungere i sistemi interni Salesforce e Snowflake e trasferire circa un terabyte di dati in quattro giorni.
McKesson, il più grande distributore farmaceutico statunitense, ha scoperto l'intrusione il 25 agosto e l'ha comunicata alla Securities and Exchange Commission il 28 agosto con un modulo 8-K, la via standard per una violazione che una società quotata giudica abbastanza grave da dichiarare. Il gruppo estorsore ShinyHunters ha rivendicato pubblicamente l'attacco nella stessa settimana, offrendo ai giornalisti un primo sguardo su ciò che dice di aver sottratto.
Cosa è Realmente Uscito dall'Azienda
L'insieme di dati sottratti, se le affermazioni di ShinyHunters risultano fondate, copre il nucleo clinico di una cartella paziente, non solo un elenco di contatti. Nomi, indirizzi, date di nascita, numeri di previdenza sociale, identificativi paziente e Medicaid, numeri di cartella clinica, oltre a dati su farmaci, allergie e medici curanti, sono tutti citati nelle affermazioni del gruppo.
ShinyHunters indica 284 milioni di righe, ma McKesson non ha confermato questa cifra né ha detto a quanti pazienti distinti corrisponda davvero. La cartella di un solo paziente può generare decine di righe di database nel corso di anni di visite, quindi una cifra grezza di righe è un tetto per la drammaticità, non un pavimento per il numero reale di persone coinvolte; McKesson afferma di starlo ancora verificando.
Una Richiesta di Riscatto con una Precisione Strana
ShinyHunters ha chiesto esattamente 55.236.150 dollari entro 72 ore dal primo contatto, una cifra troppo precisa per essere un'offerta iniziale tonda. I gruppi estorsori calcolano sempre più spesso la richiesta sul numero di righe dichiarato, circa 19 centesimi di dollaro a record in questo caso, un motivo in più per cui il numero reale di pazienti conta più della cifra ad effetto che gli aggressori hanno scelto di pubblicizzare.
McKesson non ha detto se ha trattato entro la scadenza né se intende pagare. Le società quotate raramente lo confermano, perché il pagamento stesso può diventare una questione di comunicazione e di azionisti separata dalla violazione.
Una Sola Banda, Tre Porte Diverse
McKesson è la terza violazione confermata del 2026 collegata a ShinyHunters, e il gruppo ha usato una via di accesso diversa ogni volta, il che è la vera lezione per chi presume che un solo controllo possa fermare questo attore.
| Azienda | Divulgata | Metodo di accesso | Dati esposti | Richiesta |
|---|---|---|---|---|
| RingCentral | 28 lug 2026 (pubblica 13 ago) | Ingegneria sociale su un dipendente, metodo non divulgato | 1,6 milioni di contatti | Non pagato, 280GB pubblicati |
| Trezor (via ShipMonk) | 13 ago 2026 | SQL injection nello strumento Metabase di ShipMonk | 11.742 record completi, 1.947 parziali | Email di estorsione, importo non divulgato |
| McKesson | 28 ago 2026 | Reset Okta ottenuto per telefono | Fino a 284 milioni di record grezzi, numero di pazienti non confermato | 55.236.150 dollari in 72 ore |
Una telefonata ha abbattuto la porta principale di McKesson, una falla software quella di ShipMonk, e un approccio di ingegneria sociale non specificato quella di RingCentral. Formare il personale a diffidare di un solo canale chiude una porta e lascia le altre esattamente aperte come prima.
Cosa Deve la Vicenda alla Vostra Infrastruttura
Okta, Salesforce e Snowflake non sono esclusivi di McKesson; sostengono anche il livello di identità, vendite e archiviazione dati di gran parte del software aziendale europeo, quindi l'esposizione descritta da questa violazione è un rischio dell'intera catena tecnologica, non solo un rischio McKesson. Qualsiasi assistenza in grado di resettare un accesso unico con la sola telefonata mantiene aperta la stessa porta.
Una richiamata a un numero già registrato, un secondo approvatore per ogni reset delle credenziali, e un accesso in lettura limitato tra il livello di accesso e il magazzino dati sottostante sono i tre controlli che questo incidente sostiene direttamente, e nessuno di essi compare in un normale attestato SOC 2 o in un questionario per fornitori, motivo per cui un audit solo cartaceo avrebbe mancato tutte e tre le violazioni.
Servola Journal
Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.
Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.
Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.
Da leggere ora: 8,7 milioni di dati, una chiave visibile a tutti | Rhysida ha una mappa dei punti deboli idrici a Berlino
