Sjukvårdsföretaget McKesson har bekräftat ett dataintrång där hackare tog sig in via tredjepartsapplikationer och lyckades hämta ut stora mängder data. McKesson distribuerar läkemedel och medicinska produkter till apotek, sjukhus och kliniker i USA och hanterar ungefär var tredje recept som skrivs ut i Nordamerika.

Enligt en SEC-anmälan upptäcktes intrånget den 25 augusti 2026. Företaget uppger att utredningen befinner sig i ett tidigt skede och att man ännu inte bedömt om incidenten är väsentlig för verksamheten ekonomiskt.

Francisco Fraga, McKesson's teknikchef, bekräftade att obehöriga fick tillgång till vissa tredjepartsapplikationer och hämtade ut data kopplad till kunder inom företagets onkologi- och kirurgiverksamhet.

ShinyHunters kräver 55 miljoner dollar

Hotgruppen ShinyHunters tar på sig ansvaret för attacken. Gruppen uppger att de tog sig in genom att ringa och lura McKesson-anställda (så kallad vishing), stal inloggningsuppgifter och tog kontroll över konton i Okta. Därifrån ska de ha kommit åt företagets Salesforce- och Snowflake-miljöer och under fyra dagar hämtat ut ungefär ett terabyte data.

ShinyHunters kontaktade McKesson efter intrånget och krävde 55 236 150 dollar i lösensumma med 72 timmars svarstid. Företaget svarade aldrig, enligt gruppen.

Gruppen påstår sig ha 284 miljoner dataposter som innehåller namn, adresser, personnummer, patient-ID, medicinska journaler, läkemedels- och allergiuppgifter samt information om läkare. Siffrorna speglar databasrader snarare än unika patienter och har inte bekräftats av oberoende part.

Lärdomar för svenska företag

Intrånget mot McKesson är ytterligare ett exempel på hur tredjepartsapplikationer och molntjänster som Salesforce och Snowflake kan bli inkörsporter för angripare. Attackkedjan startade med social manipulation via telefon och slutade med att 1 TB data läckte ut ur en av USA:s största sjukvårdsaktörer.

För företag som hanterar känslig data gäller det att ha tydlig kontroll över vilka tredjepartslösningar som har tillgång till kritiska system, att säkra inloggningar med stark autentisering och att ha beredskap för att snabbt begränsa skadan om ett konto kapas.

Källa: Help Net Security