Kybernetický útok na McKesson odhalil neoprávněný přístup k některým aplikacím třetích stran a následnou exfiltraci dat. K útoku se přihlásila skupina ShinyHunters, která tvrdí, že získala přibližně 284 milionů záznamů a požaduje výkupné přes 55 milionů dolarů. Skutečný rozsah incidentu ale zatím není potvrzený.
McKesson patří mezi největší distributory léčiv a zdravotnických potřeb ve Spojených státech. Společnost 25. srpna 2026 zjistila kybernetický incident a následně oznámila, že došlo k neoprávněnému přístupu k jejím aplikacím třetích stran a k exfiltraci dat. Vyšetřování podle firmy stále probíhá a je v rané fázi.
Kybernetický útok na McKesson začal podle útočníků vishingem
Podle tvrzení skupiny ShinyHunters nezačal kybernetický útok na McKesson využitím sofistikované zranitelnosti, ale vishingem, tedy hlasovým phishingem zaměřeným na zaměstnance.
Útočníci měli zaměstnance kontaktovat prostřednictvím podvodné domény mckesson[.]claims, která měla napodobovat legitimní infrastrukturu společnosti. Cílem mělo být získání přihlašovacích údajů zaměstnanců.
Po jejich kompromitaci se podle ShinyHunters dostali k účtům využívajícím Okta SSO a následně do prostředí Salesforce a Snowflake. Právě přes tyto cloudové služby měli získat přístup k velkému množství dat.
Podle tvrzení útočníků probíhala exfiltrace přibližně čtyři dny, od 21. do 25. srpna, během kterých měli stáhnout zhruba 1 TB dat.
Celý údajný řetězec útoku tak vypadal poměrně jednoduše:
vishing → kompromitovaný účet → Okta SSO → Salesforce/Snowflake → exfiltrace dat
A právě tento způsob útoku je z pohledu kybernetické bezpečnosti velmi zajímavý. Útočník totiž podle dostupných informací nemusel nejprve prolomit samotnou cloudovou infrastrukturu. Místo toho měl získat legitimní přístup prostřednictvím sociálního inženýrství a následně využít oprávnění kompromitovaného účtu.
ShinyHunters tvrdí, že ukradli 284 milionů záznamů
Nejvýraznější číslo celého případu představuje 284 milionů záznamů. Právě toto číslo uvádějí ShinyHunters jako přibližný rozsah dat, která měli během útoku získat.
Je však velmi důležité vysvětlit, co toto číslo znamená.
284 milionů záznamů neznamená 284 milionů pacientů. Podle samotných ShinyHunters jde o hrubý odhad počtu databázových záznamů. Jeden člověk přitom může mít v systému velké množství různých záznamů – například informace o návštěvách, lécích, diagnózách, komunikaci nebo dalších zdravotnických úkonech.
Skutečný počet unikátních osob proto může být výrazně nižší. ShinyHunters navíc uvedli, že data ještě kompletně neanalyzovali.
A především: číslo 284 milionů zatím nebylo nezávisle ověřeno.
Jaká data měla být během útoku odcizena?
Pokud jsou tvrzení ShinyHunters správná, mohl by být rozsah kompromitovaných informací velmi závažný. Skupina tvrdí, že získala například jména, adresy, data narození, telefonní čísla, e-mailové adresy, Social Security Numbers, ID pacientů, Medicaid čísla a čísla zdravotní dokumentace.
Mezi údajně odcizenými informacemi mají být také údaje o lécích a alergiích, diagnózách, zdravotním stavu pacientů, informace o zesnulých a terminálně nemocných pacientech nebo komunikace mezi lékaři a pacienty. ShinyHunters dále tvrdí, že získali také zaměstnanecké údaje a interní komunikaci.
Pokud by se celý tento rozsah potvrdil, šlo by o mimořádně citlivý únik kombinující osobní, zdravotnická a zaměstnanecká data.
V tuto chvíli ale není možné jednotlivé typy údajů prezentovat jako potvrzený rozsah úniku. McKesson veřejně nepotvrdil, že všechny tyto informace byly skutečně odcizeny. Jde o tvrzení útočné skupiny.
McKesson potvrdil incident, nikoliv rozsah útoku
Právě rozdíl mezi potvrzenými informacemi a tvrzeními ShinyHunters je u tohoto případu zásadní.
McKesson skutečně potvrdil, že došlo ke kybernetickému incidentu, neoprávněnému přístupu k určitým aplikacím třetích stran a exfiltraci dat. Společnost zároveň uvedla, že vyšetřování pokračuje a v době oznámení nebylo možné určit kompletní dopad incidentu.
McKesson také uvedl, že incident souvisí s podmnožinou zákazníků v divizích Oncology & Multispecialty a Medical-Surgical.
Firma podle dostupných informací uvedla, že má přiměřenou jistotu, že v jejích systémech již neprobíhá pokračující neoprávněná aktivita. Vyšetřování rozsahu incidentu ale pokračuje.
To znamená, že zatím nelze s jistotou říct, kolika lidem se incident týká ani jaké konkrétní informace byly skutečně odcizeny.
Výkupné přes 55 milionů dolarů
ShinyHunters tvrdí, že za odcizená data požadovali od McKessonu výkupné ve výši 55 236 150 dolarů.
Útočníci měli společnosti dát lhůtu 72 hodin. Podle jejich verze McKesson na požadavek nereagoval a nezačal s nimi vyjednávat.
I zde je ale potřeba zachovat určitou opatrnost. Informace o výkupném, průběhu komunikace a reakci McKessonu pocházejí především od samotných útočníků a nejsou kompletně nezávisle potvrzené.
McKesson zapadá do širší kampaně ShinyHunters
Kybernetický útok na McKesson není izolovaným případem. ShinyHunters v poslední době spojovali své útoky s podobným způsobem získávání přístupu k firemním systémům.
Na začátku srpna 2026 skupina například tvrdila, že získala přibližně 12,9 milionu záznamů ze Salesforce prostředí společnosti CyrusOne. V tomto případě měla požadovat výkupné ve výši 13 milionů dolarů.
Opakuje se přitom podobný vzorec: sociální inženýrství, vishing, kompromitace identity a následný přístup ke cloudovým službám.
Pro firmy je to důležitá připomínka, že problém nemusí být přímo v samotném Salesforce nebo Snowflake. Pokud útočník získá legitimní účet zaměstnance, může se uvnitř prostředí pohybovat způsobem, který může na první pohled vypadat jako běžná aktivita.
Proč je Okta SSO důležitou součástí příběhu?
SSO výrazně zjednodušuje práci zaměstnancům i administrátorům. Jeden účet může umožnit přístup k celé řadě podnikových aplikací.
To je zároveň důvod, proč je kompromitace identity tak zajímavým cílem útočníků.
Pokud se podle tvrzení ShinyHunters skutečně podařilo prostřednictvím kompromitovaných Okta účtů dostat do Salesforce a Snowflake, získali tím přístup k prostředí, kde se mohou nacházet obrovské objemy firemních a zákaznických dat.
Z pohledu obrany proto nestačí sledovat pouze to, zda se někdo přihlásil správným heslem a prošel autentizací. Bezpečnostní týmy musí sledovat také co uživatel po přihlášení skutečně dělá.
Podezřelá může být například kombinace nového přihlášení z neobvyklé lokality, následného přístupu k aplikaci, kterou zaměstnanec běžně nepoužívá, a následného masivního exportu dat.
Co si z kybernetického útoku na McKesson odnést?
Případ McKessonu ukazuje především sílu sociálního inženýrství.
Útočník nemusí vždy hledat chybu v operačním systému, exploitu nebo cloudové službě. Někdy mu stačí přesvědčit člověka, aby mu poskytl přístup.
Jakmile získá legitimní účet, mohou být další kroky výrazně jednodušší. Přístup přes SSO může otevřít dveře k několika dalším službám a velkému množství dat.
Firmy by proto měly věnovat pozornost nejen klasickému phishingu, ale také vishingu, zabezpečení identit, vícefaktorové autentizaci a monitoringu neobvyklého chování uživatelů.
Důležitou součástí obrany je také princip nejmenších oprávnění. Pokud jeden účet nepotřebuje přístup k určitému systému nebo datům, neměl by ho mít.
U citlivých cloudových prostředí je zároveň vhodné sledovat hromadné exporty a neobvyklé používání API. Právě taková aktivita může být jedním z prvních signálů, že kompromitovaný účet někdo používá k odcizení dat.
Co zatím víme?
Potvrzené je, že McKesson odhalil kybernetický incident, při kterém došlo k neoprávněnému přístupu k některým aplikacím třetích stran a k exfiltraci dat.
Nepotvrzené zůstává, že bylo odcizeno 284 milionů záznamů, že šlo přesně o 1 TB dat, že byly kompromitovány konkrétní Okta účty a že útočníci získali kompletní seznam citlivých zdravotnických údajů, které uvádějí.
Stejně tak jde zatím o tvrzení ShinyHunters, že za útokem stojí právě tato skupina a že požadovala více než 55 milionů dolarů.
Další informace z vyšetřování McKessonu proto mohou současný obraz incidentu ještě výrazně změnit.
Jedno poučení je ale jasné už nyní: silné zabezpečení cloudových služeb nepomůže, pokud útočník dokáže získat legitimní identitu člověka, který k nim má přístup.
Zdroje
- Cybernews – US healthcare giant McKesson breached, ShinyHunters claims 284m patient records
- BleepingComputer – McKesson discloses breach after ShinyHunters claims patient data theft
- Malwarebytes – McKesson confirms cyber incident after ShinyHunters claims patient-data theft
- DataBreaches.net – McKesson is investigating a cybersecurity incident
- HIPAA Journal – ShinyHunters Claims Theft of 284M Records from Healthcare Giant McKesson
- McKesson – Customer Cybersecurity Information Center
