ABD’de ilaç dağıtımı, sağlık hizmetleri ve sağlık teknolojileri alanlarında faaliyet gösteren McKesson, üçüncü taraflara ait uygulamalara yetkisiz erişim sağlanmasını ve bu uygulamalardan veri çıkarılmasını içeren bir siber güvenlik olayını açıkladı. Açıklama, gasp grubu ShinyHunters’ın saldırının sorumluluğunu üstlenerek hastalarla ilişkili büyük miktarda veri elde ettiğini iddia etmesinin ardından şirketin ABD Menkul Kıymetler ve Borsa Komisyonu’na sunduğu dosyada yer aldı.
McKesson, olayı 25 Ağustos 2026’da tespit ettiğini ve soruşturmanın hâlâ ilk aşamalarında olduğunu söyledi. Şirket, açıklamasında, başvuru tarihi itibarıyla olayın “önemli” olup olmadığını veya şirket, mali durumu ya da faaliyet sonuçları üzerinde önemli bir etkisinin bulunup bulunmadığını ya da bulunmasının muhtemel olup olmadığını belirlemediğini açıkladı.
McKesson’ın doğruladıkları
Şirket, müşterilere yönelik ayrı bir bildirimde olayın üçüncü taraflara ait uygulamaları, yetkisiz erişimi ve veri çıkarılmasını kapsadığını doğruladı. Olayı tespit eder etmez olay müdahale protokollerini devreye aldığını ve siber güvenlik uzmanlarının yardımıyla soruşturma başlattığını söyledi. Ayrıca müşterilerin hizmet düzeyinde aralıklı düşüşler yaşayabileceği uyarısında bulundu, ancak sistemlerini kendi ortamından proaktif olarak ayırmadığını belirtti.
McKesson şu ana kadar etkilenen uygulamaların adlarını, saldırganların giriş yöntemini veya çıkarılan bilgilerin niteliğini açıklamadı. Şirket, olayın kapsamı netleştikçe ek bilgiler sunacağını da söyledi.
ShinyHunters’ın iddiaları
ShinyHunters, BleepingComputer’a saldırının birkaç McKesson çalışanını hedef alan sesli kimlik avı kampanyalarıyla başladığını ve saldırganların tek oturum açma hizmeti için Okta’da çalışan hesaplarını ele geçirmeyi başardığını söyledi. Grup, bu hesapları Salesforce ve Snowflake ortamlarına erişmek için kullandığını ve 21-25 Ağustos tarihleri arasında dört gün içinde yaklaşık bir terabayt veri çıkardığını iddia ediyor.
Grup, destek talepleri de dahil olmak üzere Salesforce ortamının tamamen ele geçirildiğini ve Snowflake verilerinin hastalarla ilişkili yaklaşık 284 milyon kayıt içerdiğini söylüyor. Ancak bu sayı, etkilenen kişi sayısının 284 milyon olduğu anlamına gelmiyor; ShinyHunters, bunun benzersiz kişi sayısını değil, ham kayıt veya satır sayısını temsil ettiğini açıkladı ve verileri tamamen analiz etmediğini, dolayısıyla gerçek kişi sayısını bilmediğini kabul etti.
Grubun çaldığını iddia ettiği veriler arasında adlar, adresler, doğum tarihleri, Sosyal Güvenlik numaraları, hasta kimlikleri, Medicaid numaraları, tıbbi kayıt verileri, ilaçlar, alerjiler, randevular ve doktorlar; ayrıca reçete bilgileri, ilaç sevkiyatları, faturalandırma, çalışan verileri ve iç iletişimler yer alıyor. BleepingComputer bu iddiaları bağımsız olarak doğrulamadı ve McKesson da verilerin içeriğini doğrulamadı.
Bu haber neden önemli?
Mevcut bilgilere göre olay, sosyal mühendislik ile tek oturum açma hesaplarının ardından bulut hizmetlerine ve iş uygulamalarına erişimi birleştiren bir saldırı yolunu ortaya koyuyor. McKesson’ın hastalar, sağlık hizmeti sağlayıcıları ve eczanelerle ilişkili verilerle çalışması, olayın hassasiyetini artırıyor; ancak etkinin boyutu, açığa çıkan bilgilerin türü ve etkilenen kişi sayısı hâlâ yanıtlanmamış sorular.
Kaynak, saldırıyı ShinyHunters’a atfedilen ve sağlık kuruluşları ile sağlık teknolojisi şirketlerine yönelik veri hırsızlığı operasyonları dalgasıyla ilişkilendiriyor; ayrıca Health-ISAC’ın kurumsal hesapların SaaS platformlarına ve bulut hizmetlerine erişim sağlamak amacıyla hedef alındığı konusunda daha önce yaptığı uyarıya değiniyor. Kaynak ayrıca grubun 55.236.150 dolar fidye talep ettiğini ve McKesson’ın kendisiyle müzakere etmediğini söylediğini belirtiyor. mckesson[.]claims alan adının kullanıldığı iddiası gibi bu ayrıntılar da şirketin nihai doğrulaması değil, grubun açıklamalarına veya diğer kuruluşların raporlarına dayanıyor.