米国で医薬品の流通、ヘルスケアサービスおよび技術を手がけるMcKessonは、第三者が管理するアプリケーションへの不正アクセスと、そこからのデータ抽出を含むサイバーセキュリティインシデントを公表した。この開示は、恐喝グループShinyHuntersが攻撃への関与を表明し、患者に関連する大量のデータを入手したと主張した後、同社が米国証券取引委員会（SEC）に提出した書類で行われた。
McKessonは、2026年8月25日にインシデントを発見し、調査はまだ初期段階にあると述べた。同社は開示書類で、提出時点では、この事案が「重要な」ものかどうか、また同社やその財務状況、事業運営の結果に重大な影響を与えた、または与える可能性があるかどうかを判断していないと説明した。
McKessonが確認したこと
同社は顧客向けの別の通知で、インシデントには第三者が管理するアプリケーション、不正アクセスおよびデータ抽出が関係していたことを確認した。事案を発見すると直ちにインシデント対応プロトコルを発動し、サイバーセキュリティの専門家の支援を受けて調査を開始したという。また、顧客が断続的なサービスレベルの低下を経験する可能性があると警告した一方、システムを事前に自社環境から切り離してはいなかったと述べた。
現時点でMcKessonは、影響を受けたアプリケーションの名称、攻撃者の侵入方法、抽出された情報の内容を明らかにしていない。また、インシデントの範囲が明らかになり次第、追加情報を提供すると述べた。
ShinyHuntersの主張
ShinyHuntersはBleepingComputerに対し、攻撃は複数のMcKesson従業員を標的とした音声フィッシングキャンペーンで始まり、攻撃者はシングルサインオン（SSO）サービスのOktaで従業員のアカウントを侵害することに成功したと述べた。同グループは、これらのアカウントを使ってSalesforceとSnowflakeの環境にアクセスし、8月21日から25日までの4日間で約1テラバイトのデータを抽出したと主張している。
同グループによれば、サポートケースを含むSalesforce環境は完全に侵害され、Snowflakeのデータには患者に関連する約2億8,400万件の記録が含まれていた。ただし、この数字は被害者が2億8,400万人に達したことを意味しない。ShinyHuntersは、これは記録または行の延べ数であり、重複しない個人の数ではないと説明している。また、データを完全には分析しておらず、実際の人数も把握していないと認めた。
同グループが盗んだと主張するデータの一覧には、氏名、住所、生年月日、社会保障番号、患者識別子、Medicaid番号、医療記録データ、医薬品、アレルギー、予約、医師に加え、処方情報、医薬品の出荷、請求書、従業員データ、社内通信が含まれる。BleepingComputerはこれらの主張を独自に検証しておらず、McKessonもデータの内容を確認していない。
なぜこのニュースが重要なのか
入手可能な情報によれば、この事案はソーシャルエンジニアリング、シングルサインオンのアカウント、そしてクラウドサービスや業務アプリケーションへのアクセスを組み合わせた攻撃経路を示している。McKessonが患者、医療提供者、薬局に関連するデータを扱っているため、インシデントの影響範囲、公開された情報の種類、影響を受けた個人の数は依然として未解決の問題だが、事案の機微性は高まっている。
情報源は、この攻撃を、医療機関およびヘルスケア技術企業に対してShinyHuntersが行ったとされる一連のデータ窃取と関連付けている。また、企業アカウントを標的にしてSaaSプラットフォームやクラウドサービスへアクセスする動きについて、Health-ISACが以前に警告していたことにも言及している。さらに、同グループが55,236,150ドルの身代金を要求し、McKessonは交渉しなかったと主張したことも記している。ドメインmckesson[.]claimsの使用に関する主張など、これらの詳細は同グループの声明または他機関の報告に基づくものであり、同社による最終的な確認ではない。