McKesson, una delle più grandi aziende di distribuzione sanitaria del paese, ha confermato di aver subito una violazione dei dati dopo che il gruppo di estorsione ShinyHunters ha dichiarato di aver rubato la sbalorditiva cifra di 284 milioni di record contenenti sia informazioni personali identificabili (PII) che informazioni sanitarie protette (PHI). La conferma arriva mentre una scadenza imposta dagli aggressori sarebbe imminente, aumentando la posta in gioco per un'azienda che tocca un'enorme fetta della filiera farmaceutica e di forniture mediche statunitense.

Cosa Afferma ShinyHunters di Aver Rubato da McKesson

ShinyHunters, un gruppo noto per furti di dati su larga scala e campagne di estorsione, ha rivendicato la responsabilità dell'esfiltrazione di 284 milioni di record dai sistemi di McKesson. Il gruppo afferma che i dati rubati includono un mix di PII, come nomi e dettagli di contatto, insieme a PHI, la categoria di dati legati alla salute che gode di speciali protezioni legali ai sensi di normative come l'HIPAA. Poiché McKesson opera come collegamento critico tra produttori di farmaci, farmacie e operatori sanitari, l'ambito dei dati che gestisce può spaziare su record di pazienti legati a prescrizioni, ordini di forniture mediche e comunicazioni con i fornitori, piuttosto che dati provenienti da un singolo ospedale o clinica.

La scala stessa del bottino rivendicato, quasi 300 milioni di record, collocherebbe questo incidente tra le più grandi rivendicazioni di furto di dati legati alla sanità degli ultimi tempi. Al momento della conferma, McKesson ha riconosciuto che si è verificata una violazione, sebbene l'intera portata di ciò che è stato effettivamente accesso e rubato sia ancora in fase di determinazione attraverso le indagini dell'azienda.

Perché il Furto di PII e PHI è Più Pericoloso di una Tipica Violazione

Non tutte le violazioni dei dati comportano lo stesso rischio, e la combinazione di PII e PHI è particolarmente preoccupante. Le sole PII, come nomi, indirizzi e numeri di telefono, possono già alimentare phishing e furto d'identità. Ma quando si aggiungono le PHI, i criminali ottengono informazioni sulla storia medica, le prescrizioni o le condizioni di salute di una persona. Queste informazioni possono essere utilizzate per creare truffe estremamente convincenti, come falsi avvisi di farmacia, richieste di risarcimento assicurative fraudolente o messaggi di phishing mirati che fanno riferimento a dettagli medici reali per apparire legittimi.

Le PHI sono inoltre più difficili da modificare per le vittime rispetto a una password o persino a un numero di previdenza sociale. La storia di diagnosi o il record di prescrizioni di una persona non scadono né si azzerano, il che significa che i dati medici esposti possono rimanere utili ai malintenzionati per anni. Questo è uno dei motivi per cui i dati sanitari ottengono costantemente un prezzo premium sui mercati del dark web e per cui le violazioni presso distributori farmaceutici, reti ospedaliere e assicuratori sanitari tendono ad attirare l'attenzione prolungata dei gruppi di estorsione.

La Conferma di McKesson e la Scadenza dell'Estorsione Spiegata

La conferma pubblica di McKesson segue uno schema familiare visto nei recenti casi di estorsione nel settore sanitario: un attore malintenzionato rivendica un grande furto di dati, fissa una scadenza per il pagamento o la divulgazione pubblica, e l'azienda presa di mira lavora per verificare e contenere l'incidente sotto pressione pubblica. Non è la prima volta che McKesson si trova al centro di uno stallo estorsivo. L'azienda era stata in precedenza nominata anche in una separata rivendicazione di riscatto che coinvolgeva il gruppo Rhysida, un caso che ha evidenziato l'esposizione continua di McKesson agli attacchi estorsivi e il più ampio schema di aziende sanitarie e della catena di approvvigionamento prese di mira da questi gruppi.

Sebbene McKesson abbia confermato che si è verificata una violazione, l'azienda non ha dettagliato l'intera portata dei dati sottratti né ha validato in modo definitivo la cifra di 284 milioni di ShinyHunters. Discrepanze tra le rivendicazioni degli aggressori e le perdite confermate sono comuni in queste situazioni, e la scala reale diventa spesso più chiara solo dopo l'indagine forense, sebbene la violazione confermata stessa sia sufficiente a giustificare cautela da parte di chiunque abbia interagito con farmacie, fornitori o canali di approvvigionamento affiliati a McKesson.

Passi che i Pazienti e i Clienti delle Farmacie Dovrebbero Compiere Ora

Data la natura della catena di approvvigionamento sanitario dell'attività di McKesson, molti pazienti potrebbero non rendersi nemmeno conto che i loro dati sono passati attraverso i suoi sistemi, poiché McKesson opera spesso dietro le quinte per farmacie e fornitori piuttosto che interagire direttamente con i pazienti. Tuttavia, ci sono passi concreti che vale la pena compiere:

  • Fare attenzione ai tentativi di phishing che fanno riferimento a dettagli medici specifici, prescrizioni o nomi di fornitori, poiché questi possono indicare un uso improprio delle PHI rubate.
  • Monitorare gli estratti conto bancari e assicurativi per addebiti o richieste di risarcimento non riconosciuti presentati a proprio nome.
  • Prendere in considerazione servizi di monitoraggio delle credenziali e del dark web, soprattutto data la scala dei record che ShinyHunters afferma di aver ottenuto.
  • Essere cauti con chiamate o messaggi non richiesti che affermano di provenire da una farmacia o da un operatore sanitario che chiedono di "verificare" informazioni personali.
  • Tenere d'occhio le notifiche ufficiali di McKesson o delle farmacie interessate, che potrebbero includere indicazioni specifiche una volta concluse le indagini.

Cosa Significa Questo per Te

Anche se non hai mai sentito parlare di McKesson per nome, il suo ruolo di distributore sanitario significa che i tuoi dati potrebbero far parte di record elaborati attraverso farmacie o fornitori che supporta. La violazione dei dati di McKesson che coinvolge le PHI è un promemoria che le aziende della catena di approvvigionamento sanitario, non solo ospedali e assicuratori, sono bersagli di alto valore per i gruppi di estorsione a causa del volume e della sensibilità dei dati che gestiscono. Fino al completamento delle indagini di McKesson, trattare qualsiasi comunicazione legata alla salute con maggiore scrupolosità è una precauzione ragionevole.

La violazione di McKesson sottolinea una tendenza più ampia: gli aggressori stanno prendendo sempre più di mira il tessuto connettivo del sistema sanitario, non solo le istituzioni più visibili. Per i pazienti, la risposta pratica è la stessa indipendentemente da quale azienda abbia gestito male i dati: presupporre l'esposizione, monitorare di conseguenza e trattare con sospetto qualsiasi contatto inaspettato legato alla salute. Rimanere informati mentre le indagini di McKesson progrediscono, e rivedere come i precedenti tentativi di estorsione contro l'azienda si sono conclusi, può aiutarti a valutare il rischio reale e rispondere in modo appropriato piuttosto che reagire per allarme.