Wprowadzenie do problemu / definicja
McKesson, jeden z największych podmiotów działających w amerykańskim sektorze ochrony zdrowia i dystrybucji farmaceutycznej, poinformował o incydencie cyberbezpieczeństwa związanym z nieautoryzowanym dostępem do aplikacji firm trzecich oraz eksfiltracją danych. Sprawa budzi szczególne zainteresowanie, ponieważ dotyczy środowisk przetwarzających informacje o pacjentach, czyli danych o bardzo wysokiej wrażliwości biznesowej, regulacyjnej i reputacyjnej.
Tego rodzaju zdarzenia pokazują, że współczesne naruszenia coraz częściej nie polegają na klasycznym zaszyfrowaniu infrastruktury, lecz na przejęciu dostępu do systemów i cichym wynoszeniu danych z aplikacji chmurowych oraz usług SaaS.
W skrócie
McKesson wykrył incydent 25 sierpnia 2026 roku i rozpoczął działania reagowania, analizę techniczną oraz ocenę skali naruszenia. Według dostępnych informacji doszło do nieautoryzowanego dostępu do zewnętrznych aplikacji oraz kradzieży danych.
- Incydent miał objąć aplikacje podmiotów trzecich.
- Potwierdzono nieautoryzowany dostęp i eksfiltrację danych.
- Z atakiem powiązano grupę ShinyHunters.
- Napastnicy mieli wykorzystać socjotechnikę typu vishing.
- Deklarowany wolumen to około 284 miliony rekordów, co nie musi oznaczać tylu unikalnych osób.
Kontekst / historia
Atak wpisuje się w rosnącą falę incydentów wymierzonych w organizacje ochrony zdrowia oraz dostawców technologii medycznych. W ostatnim czasie cyberprzestępcy coraz częściej odchodzą od modelu opartego wyłącznie na ransomware na rzecz kradzieży danych i wymuszeń opartych na groźbie ich publikacji lub dalszego wykorzystania.
W takich operacjach kluczowe staje się przejęcie wiarygodnych tożsamości użytkowników. Grupy przestępcze wykorzystują do tego podszywanie się pod helpdesk, fałszywe procedury wsparcia technicznego, rozmowy telefoniczne oraz strony imitujące legalne środowiska logowania. W organizacjach korzystających z federacji tożsamości i jednokrotnego logowania skutki przejęcia jednego konta mogą być wyjątkowo rozległe.
Analiza techniczna
Dostępne informacje sugerują, że incydent dotyczył aplikacji zewnętrznych, co wskazuje na naruszenie ścieżki dostępu do danych, a niekoniecznie bezpośrednie przełamanie wewnętrznej infrastruktury sieciowej. W praktyce oznacza to możliwość uzyskania przez napastników dostępu do zasobów biznesowych bez instalowania złośliwego oprogramowania na stacjach roboczych.
Deklarowany scenariusz ataku obejmował kilka etapów: kampanię vishingową wobec pracowników, przejęcie poświadczeń lub aktywnych sesji, kompromitację kont powiązanych z platformą SSO, dostęp do środowisk chmurowych i aplikacji biznesowych, a następnie stopniową eksfiltrację danych.
Szczególnie niebezpieczny jest aspekt przejęcia dostępu do systemów zarządzania tożsamością oraz usług takich jak CRM czy hurtownie danych w chmurze. Jeśli atakujący uzyskuje ważne poświadczenia do systemu jednokrotnego logowania, może poruszać się po ekosystemie aplikacyjnym z uprawnieniami legalnego użytkownika. To znacząco utrudnia wykrycie incydentu, ponieważ aktywność może wyglądać jak zwykłe logowanie, przeglądanie rekordów lub eksport danych.
Z perspektywy obronnej jest to typowy przykład ataku typu identity-first, w którym najcenniejszym zasobem nie jest pojedynczy host, lecz tożsamość użytkownika oraz relacje zaufania między usługami. W takim modelu klasyczne zabezpieczenia endpointów i filtracja ruchu sieciowego nie są wystarczające bez silnej ochrony warstwy tożsamości i monitoringu aktywności w środowiskach SaaS.
Konsekwencje / ryzyko
Jeżeli zakres skradzionych informacji zostanie potwierdzony choćby częściowo, organizacja może mierzyć się z poważnym ryzykiem naruszenia poufności danych identyfikacyjnych, medycznych oraz operacyjnych. Tego typu zbiory są szczególnie cenne dla cyberprzestępców, ponieważ mogą zostać użyte do oszustw finansowych, wyłudzeń tożsamości, kampanii phishingowych oraz działań szantażowych.
W sektorze ochrony zdrowia skutki takich incydentów wykraczają poza samą prywatność. Naruszenie danych pacjentów może pośrednio wpływać na ciągłość procesów klinicznych, obsługę dostaw, rozliczenia i relacje z partnerami medycznymi. Dodatkowo nawet incydent skoncentrowany głównie na eksfiltracji danych może prowadzić do okresowych zakłóceń usług i wzrostu kosztów operacyjnych.
Warto również odróżnić liczbę rekordów od liczby osób, których dane mogły zostać objęte naruszeniem. Jeden pacjent może występować w wielu wpisach, tabelach lub transakcjach, jednak sam wolumen rekordów nadal wskazuje na szeroki potencjalny zasięg i dużą złożoność procesu notyfikacji oraz działań naprawczych.
Rekomendacje
Incydent powinien być ostrzeżeniem dla organizacji ochrony zdrowia oraz firm opierających działalność na rozbudowanym ekosystemie usług chmurowych i SaaS.
- Wdrożyć MFA odporne na phishing, najlepiej oparte na FIDO2 lub kluczach sprzętowych.
- Ograniczyć zaufanie do kanałów telefonicznych i wprowadzić formalne procedury potwierdzania zgłoszeń do helpdesku.
- Monitorować logowania do SSO pod kątem anomalii geograficznych, zmian urządzeń i nietypowych agentów użytkownika.
- Uruchomić alerty dla masowych eksportów danych z systemów CRM, hurtowni danych i platform analitycznych.
- Przeprowadzić przegląd uprawnień w usługach chmurowych zgodnie z zasadą najmniejszych uprawnień.
- Wzmocnić segmentację logiczną między aplikacjami biznesowymi, repozytoriami danych i kontami administracyjnymi.
- Zapewnić pełne logowanie zdarzeń z warstwy SaaS, systemów identity provider oraz narzędzi CASB lub SSPM.
- Regularnie szkolić pracowników z rozpoznawania vishingu, phishingu i prób podszywania się pod wsparcie techniczne.
- Przygotować scenariusze reagowania obejmujące wymuszenia oparte na skradzionych danych, a nie wyłącznie ransomware.
- Zweryfikować umowy i integracje z podmiotami trzecimi pod kątem dostępu do danych wrażliwych i obowiązków notyfikacyjnych.
Podsumowanie
Incydent ujawniony przez McKesson pokazuje, że współczesne ataki na sektor ochrony zdrowia coraz częściej koncentrują się na przejęciu tożsamości i dostępie do danych w aplikacjach chmurowych. Powodzenie napastników nie musi wynikać z wykorzystania zaawansowanej luki technicznej, lecz z połączenia socjotechniki, słabszej ochrony kont oraz nadmiernego zaufania pomiędzy usługami.
Dla zespołów bezpieczeństwa najważniejszą lekcją pozostaje konieczność ochrony warstwy tożsamości, zwiększenia widoczności działań w środowiskach SaaS oraz szybkiego wykrywania nietypowej eksfiltracji danych. To właśnie te obszary stają się dziś kluczowe w obronie przed nowoczesnymi kampaniami wymierzonymi w dane pacjentów.