McKesson hat bislang nicht öffentlich mitgeteilt, welche Drittanbieter-Anwendungen betroffen waren, wie die Angreifer Zugang erlangten oder welche Informationen entwendet wurden. In seiner Kundenmitteilung erklärte das Unternehmen: „Wir nehmen die Sicherheit und den Datenschutz unserer Partner, Kunden und deren Patienten sehr ernst. Nach der Entdeckung haben wir umgehend unsere Notfallprozesse aktiviert, eine Untersuchung eingeleitet und führende Fachleute der Cybersicherheitsbranche zur Unterstützung hinzugezogen." Weitere Informationen stellt McKesson laut SEC-Meldung auf einer eigenen Webseite bereit.
ShinyHunters schildert den Zugangsweg gegenüber BleepingComputer als Telefon-Phishing (Vishing) gegen mehrere McKesson-Beschäftigte. Technische Einzelheiten, darunter die genutzte Domain, wollte die Gruppe nicht nennen; BleepingComputer erfuhr jedoch aus anderer Quelle, dass die Domain mckesson[.]claims Teil des Angriffs war.
Das passt zu einer Kampagne, die das Threat-Research-Team von ReliaQuest kürzlich dokumentierte. In einem inzwischen gelöschten Beitrag auf X hieß es: „ReliaQuest verfolgt eine weit verbreitete ShinyHunters-Kampagne mit Domains nach dem Muster unternehmen[.]claims. Diese Domains enthalten den Namen oder das Kürzel der angegriffenen Organisation unter der Top-Level-Domain .claims." Laut ReliaQuest registriert die Gruppe solche Domains, um Help-Desks und IT-Teams der Zielunternehmen nachzuahmen.
Nach Darstellung der Angreifer führten die Vishing-Anrufe zur Kompromittierung mehrerer Okta-Konten für Single Sign-on, über die sie anschließend auf die Salesforce- und Snowflake-Umgebungen des Konzerns zugriffen. Die Salesforce-Umgebung samt Support-Tickets sei vollständig kompromittiert worden; aus Snowflake sei eine deutlich größere Sammlung patientenbezogener Daten abgeflossen. Insgesamt will die Gruppe zwischen dem 21. und 25. August rund ein Terabyte Daten in vier Tagen exfiltriert haben.
Die Zahl von 284 Millionen bezieht sich ausdrücklich nicht auf betroffene Personen: ShinyHunters stellte gegenüber BleepingComputer klar, dass es sich um eine Rohzählung von etwa 284 Millionen Datensätzen beziehungsweise Zeilen handelt, nicht um eindeutige Individuen. Frühere Berichte hatten von 284 Millionen betroffenen Patienten gesprochen. Die Gruppe erklärte, die Daten noch nicht vollständig ausgewertet zu haben und die Zahl eindeutiger Personen nicht zu kennen.
Zum Inhalt der Daten behauptet die Gruppe, sie umfassten Namen, Anschriften, Geburtsdaten, Sozialversicherungsnummern, Patienten-IDs, Telefonnummern, E-Mail-Adressen, Medicaid-Nummern, Krankenaktennummern, Angaben zu Medikamenten und Allergien, Erkrankungen, Behinderungen, Termindaten und Arztinformationen. Zusätzlich sollen Angaben zu verstorbenen und unheilbar kranken Patienten, Rezepte und Medikamentenlieferungen, Rechnungen, Beschäftigtendaten, Salesforce-Datensätze, interne Kommunikation sowie Informationen zu Leistungserbringern und Kliniken enthalten sein, die McKesson-Dienste nutzen. BleepingComputer konnte diese Angaben nicht unabhängig überprüfen.
Nach eigenen Angaben kontaktierte ShinyHunters McKesson nach Abschluss des Datendiebstahls am 25. August und forderte ein Lösegeld von 55.236.150 US-Dollar bei einer Frist von 72 Stunden. McKesson habe darauf nicht reagiert und nicht verhandelt.
Der Vorfall reiht sich in eine anhaltende Welle von Datendiebstählen gegen Gesundheits- und Health-Tech-Unternehmen ein, die ShinyHunters zugeschrieben werden. Health-ISAC warnte zuletzt vor zunehmenden Angriffen der Gruppe mittels Social Engineering, das auf die Übernahme von Unternehmenskonten und den Zugang zu Cloud- und SaaS-Plattformen zielt. Zu weiteren zuletzt betroffenen Unternehmen zählen Medtronic, DentaQuest, iRhythm, OneMedical und AdaptHealth.