McKesson veröffentlichte die Mitteilung zu dem Vorfall am Freitagabend zusammen mit Unterlagen bei der US-Börsenaufsicht SEC. Demnach steht eine Anwendung eines Drittanbieters im Zentrum des Angriffs, deren Namen das Unternehmen nicht nennt. Über diesen Zugang hätten die Angreifer Daten exfiltriert.
Einen Tag später konkretisierte der Konzern den Schaden: Betroffen sind Daten von Kunden aus den Geschäftsbereichen Onkologie und Chirurgie. Technikchef Francisco Fraga kündigte an, den betroffenen Kunden Kreditüberwachungs- und Identitätsschutzdienste bereitzustellen.
Nach Angaben des Unternehmens liegt inzwischen eine “hinreichende Sicherheit” darüber vor, dass sich die Angreifer nicht mehr in den Systemen befinden. “Kunden können sich weiterhin wie vorgesehen mit unseren Systemen und Diensten verbinden und sie nutzen”, erklärte Fraga. Man trenne Systeme nicht vorsorglich vom Netz – ein Schritt, der bei Ransomware-Angriffen üblich ist, um die Reichweite der Angreifer einzugrenzen. Kunden mit technischen Problemen bittet der Konzern um Kontaktaufnahme. Die Untersuchung dauert an; auf Nachfragen zu dem Vorfall antwortete McKesson nicht.
Zu dem Angriff bekannte sich am Freitagabend die Cyberkriminellen-Gruppe ShinyHunters, die dem Unternehmen in einem Beitrag auf ihrem Blog mit Veröffentlichungen drohte. Die Gruppe erpresst seit über zwei Jahren einige der größten Unternehmen weltweit. In diesem Jahr hatte das FBI davor gewarnt, dass mit ShinyHunters verbundene Angreifer nach Datendiebstählen über kompromittierte Salesforce-Umgebungen erhebliche Lösegeldforderungen stellen.
Im Mai sorgte die Gruppe mit einem Angriff auf eine weit verbreitete Bildungssoftware für Aufsehen; im April erbeutete sie beim weltgrößten Medizintechnikhersteller die Daten von mehr als vier Millionen Menschen. Zu den weiteren Opfern zählen Carnival Cruises, Ticketmaster, AT&T, McGraw Hill, ADT und der Spieleentwickler Rockstar.
McKesson mit Sitz in Texas vertreibt Arzneimittel, stellt Medikamente für Krebspatienten her und produziert medizinisch-chirurgische Verbrauchsgüter sowie Laborausrüstung. Der Umsatz im vergangenen Quartal lag bei 106 Milliarden Dollar, etwa ein Drittel aller Rezepte in Nordamerika wird über das Unternehmen abgewickelt.
Damit ist McKesson das jüngste große Gesundheitsunternehmen, das in diesem Jahr angegriffen wurde. Zuvor hatten bereits die Medizintechnikkonzerne Boston Scientific und Medtronic Sicherheitsvorfälle gemeldet, auch der Hersteller Stryker war betroffen.