Um gigante da distribuição farmacêutica acabou de se tornar o nome mais recente em uma lista crescente de empresas americanas de saúde atingidas por hackers em busca de prontuários de pacientes. A violação de dados da McKesson, divulgada em 28 de agosto de 2026, já desencadeou uma exigência de resgate no valor de dezenas de milhões de dólares e colocou em risco informações médicas sensíveis de possivelmente milhões de pacientes.
Summary
Principais pontos
- A McKesson detectou acesso não autorizado a aplicativos de terceiros em 25 de agosto de 2026 e divulgou o incidente em um registro na SEC.
- O grupo de extorsão ShinyHunters afirma ter roubado cerca de 284 milhões de registros de dados dos ambientes Snowflake e Salesforce da McKesson — um número que representa linhas de banco de dados, não pacientes únicos confirmados.
- Os hackers dizem que usaram ligações de vishing para enganar funcionários e sequestrar contas Okta de logon único, depois se moveram lateralmente para sistemas em nuvem em uma janela de quatro dias entre 21 e 25 de agosto.
- O ShinyHunters exigiu um resgate de US$ 55.236.150 e deu à McKesson 72 horas para responder; a empresa supostamente nunca o fez.
- A McKesson confirmou degradação intermitente de serviço, mas se recusou a dizer quantas pessoas foram afetadas ou qual demanda de resgate recebeu.
A violação e as alegações do ShinyHunters
A própria divulgação da McKesson foi cuidadosamente redigida e com poucos detalhes, mas confirmou o núcleo da história: invasores entraram em aplicativos de terceiros e extraíram dados antes que a empresa percebesse. A violação de dados da McKesson foi identificada internamente pela primeira vez em 25 de agosto de 2026, e a empresa informou à Securities and Exchange Commission que sua investigação ainda estava “em estágios iniciais”, acrescentando que ainda não havia determinado se o incidente era financeiramente relevante.
O diretor de informação e tecnologia da McKesson, Francisco Fraga, disse aos clientes que o acesso não autorizado confirmado e a exfiltração de dados afetaram “um subconjunto de clientes dentro de nossas unidades de negócios de Oncologia & Multiespecialidades e Médico-Cirúrgica”. Ele também disse que a empresa não estava desconectando sistemas de forma proativa e não acreditava que os clientes precisassem tomar medidas, embora tenha reconhecido que a investigação estava em andamento.
Como os hackers invadiram
O ShinyHunters, descrito como uma das operações de extorsão de dados mais ativas dos últimos dois anos, disse ao Bleeping Computer e ao TechCrunch que obteve acesso por meio de chamadas de phishing por voz — ou vishing — direcionadas a funcionários da McKesson. Segundo o grupo, a campanha se baseou em um domínio semelhante, mckesson[.]claims, criado para se passar pelo help desk interno ou equipe de TI da empresa, uma tática que corresponde a um padrão mais amplo que pesquisadores da ReliaQuest já vinham rastreando em várias organizações-alvo usando o esquema de nomenclatura “.claims”.
Depois que os invasores enganaram funcionários para que entregassem credenciais, eles assumiram contas Okta de logon único. A partir daí, o ShinyHunters diz que se deslocou para os ambientes em nuvem Salesforce e Snowflake da McKesson, onde está a maior parte dos dados de pacientes e de negócios da empresa.
O que eles dizem que roubaram
A escala do roubo alegado é o que faz esse incidente se destacar. O ShinyHunters disse ao Bleeping Computer que exfiltrou cerca de um terabyte de dados ao longo de quatro dias, entre 21 e 25 de agosto, e que o ambiente Snowflake sozinho rendeu cerca de 284 milhões de registros de dados. O grupo posteriormente esclareceu que esse número reflete linhas brutas de banco de dados, e não uma contagem confirmada de pacientes únicos, e admitiu que ainda não analisou totalmente o material para determinar quantos indivíduos estão de fato representados nele.
Essa distinção é importante. Significa que o verdadeiro alcance da violação de dados da McKesson permanece genuinamente incerto, até mesmo de acordo com os próprios hackers, e a McKesson não ofereceu sua própria estimativa.
Independentemente da contagem exata de pessoas, as categorias de dados supostamente roubados são extensas. O ShinyHunters diz que o acervo inclui nomes, endereços residenciais, datas de nascimento, números de Seguro Social, IDs de paciente, números de telefone, endereços de e-mail, números do Medicaid, números de prontuário, informações sobre medicamentos e alergias, doenças, deficiências, detalhes de consultas e informações de médicos. O grupo também afirma que os arquivos roubados envolvem pacientes falecidos e em estado terminal, registros de prescrição e envio de medicamentos, faturas, comunicações internas e informações vinculadas a prestadores de serviços de saúde e clínicas que utilizam os serviços da McKesson. O TechCrunch informou que verificou uma pequena amostra dos dados vazados em comparação com registros públicos, embora nenhuma das alegações mais amplas tenha sido confirmada de forma independente por pesquisadores externos ou pela própria McKesson.
Separadamente dos registros de pacientes, os hackers dizem que informações de funcionários da McKesson — incluindo endereços residenciais — também foram capturadas na exfiltração, ampliando o impacto para além da base de clientes da empresa.
Um ultimato de US$ 55 milhões e a resposta da McKesson
Extorsão, e não apenas roubo, parece ser o objetivo final aqui. O ShinyHunters disse ao Bleeping Computer que contatou a McKesson logo após concluir o roubo de dados em 25 de agosto e exigiu um resgate de exatamente US$ 55.236.150, dando à empresa um prazo de 72 horas para responder. Segundo o grupo, a McKesson nunca respondeu à exigência.
Publicamente, a McKesson manteve um discurso restrito. A porta-voz Kristina Chang disse ao TechCrunch que a empresa “continua a operar em todas as linhas de negócios” e afirmou que a McKesson não acredita que haja atividade não autorizada em andamento dentro de seus sistemas. A empresa confirmou que os clientes poderiam experimentar degradação intermitente de serviço ligada ao incidente, mas se recusou a responder perguntas específicas sobre a demanda de resgate ou o número de indivíduos cujos dados foram afetados.
Esse silêncio é notável por si só. Por que isso importa: quando uma empresa que lida com dados de pacientes na escala da McKesson não confirma quantas pessoas foram afetadas, pacientes, prestadores de serviços e reguladores ficam tentando adivinhar a real exposição — e essa incerteza tende a persistir muito depois que as manchetes iniciais desaparecem.
Um padrão crescente de ciberataques na área de saúde
A McKesson não é um caso isolado — é a entrada mais recente em uma onda acelerada de ataques contra empresas de saúde e medtech dos EUA. Apenas na semana passada, um ciberataque atingiu a fabricante de dispositivos médicos Boston Scientific, causando interrupções significativas em grande parte de sua rede, ecoando um incidente anterior na também fabricante de dispositivos Stryker, onde hackers abusaram de ferramentas internas para apagar remotamente milhares de dispositivos de funcionários.
A Abbott Laboratories e a Medtronic também sofreram ciberataques nos últimos meses. Violações de dados afetaram a empresa de tecnologia em saúde TriZetto e a fornecedora de prontuários eletrônicos de pacientes CareCloud, cada uma impactando mais de 3 milhões de pacientes. O próprio ShinyHunters também reivindicou crédito por violações na One Medical, de propriedade da Amazon, e na seguradora odontológica DentaQuest, além de ataques à Medtronic, iRhythm e AdaptHealth.
A Health-ISAC já alertou organizações de saúde sobre a maré crescente de ataques do ShinyHunters baseados em engenharia social direcionada a contas corporativas e plataformas em nuvem ou SaaS — exatamente o manual supostamente usado contra a McKesson. Para um setor que armazena alguns dos dados pessoais mais sensíveis que existem, a repetição desse mesmo padrão de vishing seguido de violação em nuvem sugere que os invasores encontraram um método que funciona de forma consistente, e os ciberataques na área de saúde ligados a grupos como o ShinyHunters não mostram sinais de desaceleração.
Perguntas frequentes
Quem foi responsável pela violação de dados da McKesson?
O grupo de hackers ShinyHunters reivindicou a responsabilidade pelo ciberataque, dizendo que obteve acesso por meio de chamadas de vishing e engenharia social direcionadas a funcionários da McKesson.
Que tipo de dados foi roubado no ciberataque à McKesson?
O ShinyHunters afirma ter obtido cerca de 284 milhões de registros de dados contendo informações pessoais e de saúde protegidas, juntamente com dados pessoais de funcionários, como endereços residenciais. A cifra reflete linhas de banco de dados, e não um número confirmado de pacientes únicos.
Como os hackers acessaram os sistemas da McKesson?
De acordo com os hackers, chamadas de vishing enganaram funcionários para que entregassem credenciais, que foram usadas para sequestrar contas Okta de logon único. A partir daí, os invasores se moveram para os ambientes Salesforce e Snowflake hospedados em nuvem da McKesson para extrair dados.
A McKesson pagou o resgate exigido pelos hackers?
A McKesson se recusou a divulgar detalhes sobre qualquer pagamento de resgate. O ShinyHunters diz que exigiu US$ 55.236.150 com um prazo de 72 horas e que a McKesson nunca respondeu à exigência.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Quem foi responsável pela violação de dados da McKesson?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O grupo de hackers ShinyHunters reivindicou a responsabilidade pelo ciberataque, dizendo que obteve acesso por meio de chamadas de vishing e engenharia social direcionadas a funcionários da McKesson.”}},{“@type”:”Question”,”name”:”Que tipo de dados foi roubado no ciberataque à McKesson?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O ShinyHunters afirma ter obtido cerca de 284 milhões de registros de dados contendo informações pessoais e de saúde protegidas, juntamente com dados pessoais de funcionários, como endereços residenciais. A cifra reflete linhas de banco de dados, e não um número confirmado de pacientes únicos.”}},{“@type”:”Question”,”name”:”Como os hackers acessaram os sistemas da McKesson?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”De acordo com os hackers, chamadas de vishing enganaram funcionários para que entregassem credenciais, que foram usadas para sequestrar contas Okta de logon único. A partir daí, os invasores se moveram para os ambientes Salesforce e Snowflake hospedados em nuvem da McKesson para extrair dados.”}},{“@type”:”Question”,”name”:”A McKesson pagou o resgate exigido pelos hackers?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A McKesson se recusou a divulgar detalhes sobre qualquer pagamento de resgate. O ShinyHunters diz que exigiu US$ 55.236.150 com um prazo de 72 horas e que a McKesson nunca respondeu à exigência.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
