Violazione di McKesson collegata a 6,4 milioni di indirizzi email unici

McKesson sta indagando su un attacco informatico durante il quale una parte non autorizzata ha avuto accesso ai suoi sistemi ed esfiltrato dati; i primi riscontri indicano che potrebbero essere state sottratte informazioni relative ad alcuni clienti. L’azienda non ha ancora stabilito quante persone siano state coinvolte né se l’incidente avrà un impatto finanziario significativo.

In un aggiornamento pubblicato l’8 settembre 2026, McKesson ha affermato che le informazioni potenzialmente sottratte potrebbero includere nomi, indirizzi di casa e di posta elettronica, numeri di telefono, numeri identificativi dei pazienti e date di nascita. L’azienda ha inoltre dichiarato che i dati potrebbero contenere ulteriori dettagli di carattere medico o relativi all’identità, sebbene la revisione non sia ancora completa.

La portata dell’incidente comincia a emergere. Troy Hunt di HaveIBeenPwned ha riferito che i dati presumibilmente sottratti a McKesson contenevano 6,4 milioni di indirizzi email unici. Secondo quanto riferito, tali indirizzi provenivano da campagne di marketing, pazienti, dipendenti e altre persone. Il dato non dimostra che siano stati coinvolti 6,4 milioni di pazienti e McKesson non ha pubblicato un conteggio definitivo delle persone interessate.

Cosa ha reso noto McKesson

McKesson ha annunciato per la prima volta l’incidente il 28 agosto, dopo aver rilevato l’attività il 25 agosto, secondo quanto riportato in un documento depositato presso la US Securities and Exchange Commission. L’azienda ha affermato che l’evento ha coinvolto applicazioni di terze parti, accessi non autorizzati e la rimozione di dati.

L’indagine è incentrata sull’identificazione delle modalità con cui gli aggressori sono entrati nei sistemi, delle informazioni ottenute e dell’intera portata dell’attività. McKesson ha coinvolto specialisti esterni di cybersicurezza, attivato le proprie procedure di risposta agli incidenti e introdotto misure volte a prevenire il ripetersi dell’accaduto. Sta inoltre monitorando i propri sistemi, internet e altre fonti alla ricerca di segnali collegati all’attacco.

La valutazione preliminare dell’azienda indica che le informazioni riguardano un sottoinsieme di clienti delle sue unità aziendali Oncology & Multispecialty e Medical-Surgical. McKesson ha affermato che le misure adottate per bloccare ulteriori accessi sembrano aver funzionato e che finora non sono state rilevate altre attività non autorizzate.

Le operazioni sono proseguite. In un aggiornamento del 29 agosto, McKesson ha dichiarato che i clienti potevano continuare a effettuare ordini, che i centri di distribuzione erano rimasti aperti e che i prodotti continuavano a circolare nella sua rete. L’azienda ha tuttavia avvertito che i sistemi avrebbero potuto subire rallentamenti intermittenti e che le operazioni commerciali avrebbero potuto risentirne. Ha affermato che al momento i clienti non devono intraprendere alcuna azione e che non sta disconnettendo proattivamente i sistemi presenti nel proprio ambiente.

Le rivendicazioni sui dati sottratti

Il gruppo di estorsione ShinyHunters ha rivendicato la responsabilità dell’attacco e inserito McKesson nel proprio sito di divulgazione dei dati. Il gruppo ha affermato di aver ottenuto 284 milioni di record contenenti dati dei pazienti. Il numero si riferisce a righe grezze di dati e non a pazienti unici confermati, quindi non può essere considerato il numero delle persone esposte.

BleepingComputer, come riportato da HIPAA Journal, ha affermato di essere entrato in contatto con il gruppo e che circa un terabyte di materiale sarebbe stato sottratto tra il 21 e il 25 agosto 2026. Secondo quanto riferito, ShinyHunters avrebbe chiesto più di 55 milioni di dollari.

Il gruppo ha sostenuto che il materiale include nomi, dati di contatto, numeri di Social Security, date di nascita, numeri di cartelle cliniche, numeri Medicaid, informazioni su farmaci e allergie, diagnosi e dettagli sugli appuntamenti. I dati sembrano essere collegati all’ambiente Salesforce e a Snowflake di McKesson. McKesson non ha presentato queste rivendicazioni come una ricostruzione completa e verificata della violazione; l’esame da parte dell’azienda è ancora in corso.

Perché l’incidente è importante

McKesson è una grande azienda quotata del settore sanitario e farmaceutico. Fornisce medicinali e prodotti medico-chirurgici a ospedali, sistemi sanitari, farmacie e studi medici, oltre a servizi oncologici e tecnologici per la gestione delle prescrizioni. Una violazione che colpisca i suoi sistemi solleva quindi preoccupazioni che vanno oltre le semplici informazioni di contatto, in particolare perché i dati segnalati potrebbero includere informazioni sanitarie protette.

In passato ShinyHunters ha preso di mira organizzazioni sanitarie attraverso il furto di dati e l’estorsione. Tra le vittime precedentemente rivendicate figurano Medtronic, Abbott Laboratories, iRhythm, AdaptHealth e DentaQuest. Negli ultimi giorni il gruppo ha inoltre rivendicato la responsabilità di un incidente separato che ha coinvolto Baxter International.

McKesson non ha identificato ufficialmente gli aggressori. L’azienda non ha inoltre stabilito se l’incidente sia rilevante ai sensi degli obblighi di comunicazione previsti per le società quotate. Le indagini e la revisione dei dati dovranno stabilire quali record siano stati coinvolti, a quante persone si riferiscano e se siano necessarie ulteriori comunicazioni o misure.