McKesson hat den Vorfall in mehreren Schritten öffentlich gemacht. In der Meldung an die US-Börsenaufsicht SEC datiert der Konzern die Entdeckung des Vorfalls auf den 25. August. In einem Hinweis auf der eigenen Website hieß es am Freitag, betroffen seien Anwendungen von Drittanbietern, es sei zu einem Datendiebstahl gekommen — Systeme habe man als Reaktion darauf jedoch nicht vom Netz genommen.
Einen Tag später konkretisierte das Unternehmen: Abgeflossen seien Daten, die mit „einem Teil der Kunden innerhalb unserer Geschäftsbereiche Onkologie & Multispecialty und Medical-Surgical" verbunden sind. Der unbefugte Zugriff auf die Systeme sei unterbrochen worden, die Dienstleistungen des Konzerns seien von dem Vorfall nicht betroffen. Betroffenen Personen will McKesson kostenlose Kreditüberwachung und Identitätsschutzdienste anbieten.
Offen ließ das Unternehmen die entscheidenden Punkte: Welche Datenarten kopiert wurden, wie viele Menschen betroffen sind und wer hinter dem Angriff steckt, teilte McKesson nicht mit.
Nahezu zeitgleich mit der Offenlegung tauchte McKesson auf der Tor-basierten Leak-Seite von ShinyHunters auf. Die Gruppe ist in den vergangenen Jahren für eine Reihe aufsehenerregender Datenabflüsse verantwortlich und fordert typischerweise Lösegeld dafür, erbeutete Daten wieder zu löschen. Im Fall McKesson droht sie mit der Veröffentlichung, falls das Unternehmen nicht bis zum 1. September Kontakt für Zahlungsverhandlungen aufnimmt.
Berichten zufolge brüstete sich die Gruppe damit, 284 Millionen Kundendatensätze entwendet zu haben, und verlangt rund 55 Millionen Dollar. Zu den angeblich kompromittierten Informationen zählen personenbezogene Daten, geschützte Gesundheitsdaten, Angaben zu Behandlungen, Rezept- und Abrechnungsunterlagen, Mitarbeiterdaten sowie Informationen über Ärzte und Kliniken, die zum Kundenkreis von McKesson gehören.
SecurityWeek hat McKesson um eine Stellungnahme zu den Behauptungen der Angreifer gebeten; eine Antwort steht bislang aus.