Wprowadzenie do problemu / definicja
McKesson, jeden z największych podmiotów działających w amerykańskim sektorze ochrony zdrowia i dystrybucji farmaceutyków, poinformował o incydencie cyberbezpieczeństwa związanym z nieautoryzowanym dostępem do aplikacji firm trzecich oraz eksfiltracją danych. Sprawa budzi szczególne zainteresowanie, ponieważ grupa ShinyHunters twierdzi, że uzyskała dostęp do bardzo dużego zbioru informacji powiązanych z pacjentami.
To zdarzenie wpisuje się w szerszy trend ataków wymierzonych w środowiska chmurowe, aplikacje SaaS i systemy tożsamości. W takich kampaniach kluczową rolę coraz częściej odgrywają socjotechnika, przejęcie legalnych kont oraz nadużycie zaufanych mechanizmów dostępu.
W skrócie
- McKesson wykrył incydent 25 sierpnia 2026 r. i potwierdził nieautoryzowany dostęp do aplikacji podmiotów trzecich.
- Firma potwierdziła również kradzież danych, ale nie ujawniła jeszcze pełnego zakresu naruszenia.
- Według twierdzeń ShinyHunters atak rozpoczął się od kampanii vishingowej wymierzonej w pracowników.
- Napastnicy mieli uzyskać dostęp do kont Okta oraz środowisk Salesforce i Snowflake.
- Cyberprzestępcy utrzymują, że wyprowadzili około 1 TB danych i zdobyli około 284 mln rekordów związanych z pacjentami.
Kontekst / historia
Sektor ochrony zdrowia od lat pozostaje jednym z najatrakcyjniejszych celów dla cyberprzestępców. Organizacje medyczne przetwarzają dane osobowe, finansowe i zdrowotne, a jednocześnie funkcjonują w złożonym ekosystemie dostawców, integratorów i platform chmurowych. Taka architektura zwiększa powierzchnię ataku i sprawia, że przejęcie jednej tożsamości może otworzyć drogę do wielu krytycznych usług.
W ostatnich latach coraz częściej obserwowany jest model ataku oparty nie na szyfrowaniu systemów, lecz na wyłudzeniu dostępu, eksfiltracji danych i późniejszej presji finansowej. Grupy takie jak ShinyHunters były już wcześniej wiązane z kampaniami ukierunkowanymi na platformy SaaS oraz z agresywnym wykorzystaniem socjotechniki wobec pracowników i działów wsparcia.
Analiza techniczna
Z dostępnych informacji wynika, że wektor wejścia mógł opierać się na vishingu, czyli telefonicznej socjotechnice. W praktyce taki atak polega na podszywaniu się pod helpdesk, dział IT albo zaufanego partnera po to, by skłonić pracownika do ujawnienia danych logowania, zatwierdzenia żądania MFA, resetu hasła lub dodania nowego czynnika uwierzytelniania.
Jeżeli rzeczywiście doszło do przejęcia kont Okta, oznaczałoby to kompromitację warstwy tożsamości i jednokrotnego logowania. Z perspektywy obrony jest to scenariusz szczególnie groźny, ponieważ naruszenie systemu IdP często umożliwia dostęp do wielu usług bez potrzeby wykorzystywania klasycznych podatności technicznych. Atakujący może poruszać się po środowisku jak legalny użytkownik, co znacząco utrudnia wykrycie i analizę incydentu.
Kolejnym etapem miało być uzyskanie dostępu do środowisk Salesforce i Snowflake. Taki łańcuch ataku jest spójny z nowoczesnymi kampaniami kradzieży danych, ponieważ platformy te często przechowują cenne informacje operacyjne, analityczne i biznesowe.
- Salesforce może zawierać dane klientów, zgłoszenia wsparcia, historię komunikacji i metadane procesów.
- Snowflake bywa centralnym repozytorium dużych wolumenów danych analitycznych i operacyjnych.
- Po przejęciu tożsamości napastnik może wykonywać eksporty, zapytania masowe oraz nadużywać istniejących integracji API.
Warto także rozróżnić pojęcie rekordów od liczby osób. Deklarowane 284 mln rekordów nie musi oznaczać 284 mln unikalnych pacjentów. Rekord może oznaczać pojedynczy wpis, zdarzenie, transakcję lub inny element danych powiązany z tą samą osobą. Nie zmienia to jednak faktu, że skala potencjalnego naruszenia może być bardzo poważna.
Szczególnie alarmujące są deklarowane kategorie danych, które miały zostać pozyskane. Jeśli obejmują one identyfikatory pacjentów, daty urodzenia, adresy, numery Social Security, informacje medyczne, dane o lekach, alergiach czy wizytach, to mogą zostać wykorzystane do kradzieży tożsamości, oszustw ubezpieczeniowych, szantażu oraz precyzyjnych kampanii phishingowych.
Konsekwencje / ryzyko
Ryzyko związane z takim incydentem ma charakter wielowarstwowy. Po pierwsze, wyciek danych zdrowotnych i identyfikacyjnych może prowadzić do długofalowych skutków dla osób, których dane dotyczą. W przeciwieństwie do haseł czy kart płatniczych informacji medycznych nie da się po prostu wymienić, a ich ujawnienie może oddziaływać na prywatność przez wiele lat.
Po drugie, kompromitacja warstwy tożsamości oraz aplikacji SaaS może oznaczać ograniczoną widoczność pełnego przebiegu ataku. Jeśli przeciwnik działa przy użyciu prawidłowych poświadczeń, część aktywności może wyglądać jak zwykła praca użytkownika. To utrudnia ustalenie rzeczywistego zakresu naruszenia, czasu obecności napastnika w środowisku i listy systemów objętych incydentem.
Po trzecie, naruszenie w ochronie zdrowia wpływa na ciągłość działania. Nawet bez destrukcyjnego ransomware samo prowadzenie dochodzenia, izolowanie komponentów, przegląd uprawnień i rotacja poświadczeń mogą powodować zakłócenia usług, opóźnienia operacyjne oraz wzrost kosztów obsługi incydentu.
Nie można również wykluczyć ryzyka wtórnego. Dane pozyskane z jednego incydentu są często łączone z informacjami z innych wycieków i wykorzystywane w kolejnych kampaniach socjotechnicznych. W efekcie celem mogą stać się nie tylko pacjenci, lecz także partnerzy biznesowi, placówki medyczne i dostawcy technologiczni.
Rekomendacje
Przypadek McKesson powinien być sygnałem ostrzegawczym dla organizacji korzystających z rozbudowanego ekosystemu SaaS i zewnętrznych platform tożsamości. Priorytetem musi być wzmocnienie warstwy uwierzytelniania oraz procedur operacyjnych wokół kont uprzywilejowanych i SSO.
- Wdrożyć odporne na phishing metody MFA, najlepiej oparte na FIDO2 lub kluczach sprzętowych.
- Ograniczyć możliwość dodawania nowych metod MFA bez dodatkowej weryfikacji tożsamości.
- Monitorować nietypowe resetowania haseł, nowe urządzenia i zmiany czynników uwierzytelniania.
- Stosować formalne procedury weryfikacji przy zgłoszeniach do helpdesku i wykluczyć zmiany MFA wyłącznie na podstawie rozmowy telefonicznej.
- Przeprowadzić przegląd ról i uprawnień w Salesforce, Snowflake oraz innych kluczowych usługach SaaS.
- Wdrożyć alerty dla masowych eksportów danych i anomalii wolumetrycznych.
- Centralizować logi z IdP, aplikacji SaaS, EDR i innych źródeł telemetrii.
- Przygotować playbooki reakcji na incydenty dotyczące Okta, Salesforce, Snowflake i podobnych usług.
Równie ważne są regularne ćwiczenia red team i purple team, skupione na scenariuszach przejęcia kont oraz nadużycia legalnych poświadczeń. W środowiskach opartych na chmurze i SSO klasyczne podejście do wykrywania incydentów przestaje być wystarczające, jeśli organizacja nie analizuje kontekstu logowań, sesji i działań użytkownika.
Podsumowanie
Incydent ujawniony przez McKesson pokazuje, że współczesne ataki na sektor ochrony zdrowia coraz częściej koncentrują się na przejęciu tożsamości, nadużyciu legalnych kont i eksfiltracji danych z platform chmurowych. Nawet jeśli nie wszystkie twierdzenia sprawców zostały publicznie potwierdzone, sam fakt naruszenia aplikacji podmiotów trzecich i potencjalnego dostępu do danych pacjentów stanowi poważne ostrzeżenie dla całej branży.
Dla organizacji medycznych kluczowe stają się dziś odporność na socjotechnikę, twarda kontrola warstwy SSO, widoczność aktywności w usługach SaaS oraz szybka reakcja na działania prowadzone przy użyciu prawidłowych poświadczeń. To właśnie te obszary będą decydować o skuteczności obrony przed nową generacją ataków na dane wrażliwe.