Uma Chamada ao Suporte, Não uma Falha de Dia Zero
A maior violação da McKesson em anos não começou com uma falha de software, mas sim com uma chamada ao seu próprio serviço de apoio. Entre 21 e 25 de agosto de 2026, um atacante fazendo-se passar por um funcionário convenceu um agente de suporte a repor as credenciais de início de sessão único Okta, usando depois esse acesso para chegar aos sistemas internos Salesforce e Snowflake e retirar cerca de um terabyte de dados ao longo de quatro dias.
A McKesson, a maior distribuidora farmacêutica dos Estados Unidos, descobriu a intrusão em 25 de agosto e comunicou-a à Securities and Exchange Commission em 28 de agosto num formulário 8-K, a via habitual para uma violação que uma empresa cotada considera suficientemente grave para declarar. O grupo de extorsão ShinyHunters reivindicou publicamente a autoria na mesma semana, dando aos jornalistas uma primeira visão do que afirma ter retirado.
O que Realmente Saiu da Empresa
O conjunto de dados roubado, a confirmarem-se as afirmações da ShinyHunters, cobre o núcleo clínico de um processo de doente, não apenas uma lista de contactos. Nomes, moradas, datas de nascimento, números de segurança social, identificadores de doente e de Medicaid, números de processo clínico, e dados sobre medicação, alergias e médicos assistentes são todos referidos nas afirmações do grupo.
A ShinyHunters indica o número de linhas em 284 milhões, mas a McKesson não confirmou essa cifra nem disse a quantos doentes distintos corresponde na realidade. O processo de um único doente pode gerar dezenas de linhas de base de dados ao longo de anos de consultas, pelo que um número bruto de linhas é um teto para o efeito dramático, não um piso para o número real de pessoas afetadas; a McKesson diz que ainda está a apurar isso.
Uma Exigência de Resgate com uma Precisão Estranha
A ShinyHunters exigiu exatamente 55 236 150 dólares num prazo de 72 horas após o primeiro contacto, um valor demasiado preciso para ser uma proposta inicial redonda. Os grupos de extorsão calculam cada vez mais a sua exigência a partir do número de linhas reivindicado, aqui cerca de 19 cêntimos de dólar por registo, mais uma razão pela qual a cifra real de doentes importa mais do que o número chamativo que os atacantes escolheram divulgar.
A McKesson não disse se respondeu dentro do prazo nem se tenciona pagar. As empresas cotadas raramente o confirmam, já que o próprio pagamento se pode tornar uma questão de divulgação e de acionistas distinta da violação.
Uma Só Quadrilha, Três Portas Diferentes
A McKesson é a terceira violação confirmada de 2026 ligada à ShinyHunters, e o grupo usou uma via de entrada diferente de cada vez, o que é a verdadeira lição para quem presume que um único controlo consegue travar este agente.
| Empresa | Divulgado | Método de entrada | Dados expostos | Exigência |
|---|---|---|---|---|
| RingCentral | 28 jul 2026 (público a 13 ago) | Engenharia social contra um funcionário, método não divulgado | 1,6 milhões de registos de contacto | Não pago, 280GB publicados |
| Trezor (via ShipMonk) | 13 ago 2026 | Injeção de SQL na ferramenta Metabase da ShipMonk | 11 742 registos completos, 1 947 parciais | E-mail de extorsão, valor não divulgado |
| McKesson | 28 ago 2026 | Reposição Okta obtida por telefone | Até 284 milhões de registos brutos, número de doentes por confirmar | 55 236 150 dólares em 72 horas |
Uma chamada telefónica derrubou a porta principal da McKesson, uma falha de software a da ShipMonk, e uma abordagem de engenharia social não especificada a da RingCentral. Formar as equipas para desconfiarem de um único canal fecha uma porta e deixa as restantes exatamente tão abertas como antes.
O que Este Caso Deve à Vossa Própria Infraestrutura
Okta, Salesforce e Snowflake não são exclusivos da McKesson; sustentam também a camada de identidade, vendas e armazém de dados de grande parte do software empresarial europeu, pelo que a exposição descrita nesta violação é um risco de toda a cadeia tecnológica, não apenas um risco da McKesson. Qualquer suporte capaz de repor um início de sessão único apenas com base numa chamada mantém aberta a mesma porta.
Uma chamada de confirmação para um número já registado, um segundo aprovador em qualquer reposição de credenciais, e um acesso de leitura limitado entre a camada de acesso e o armazém de dados por trás dela são os três controlos que este incidente sustenta diretamente, e nenhum deles consta de uma atestação SOC 2 habitual nem de um questionário a fornecedores, razão pela qual uma auditoria apenas documental teria falhado as três violações.
Servola Journal
Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.
Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.
Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.
Leia a seguir: 8,7 milhões de registos, uma chave à vista de todos | Rhysida tem o mapa das fraquezas hídricas de Berlim
