Una llamada telefónica, cuatro días y un terabyte de historias de farmacia
McKesson, el gigante que distribuye medicamentos a farmacias de Estados Unidos, dice que alguien entró en las aplicaciones de terceros que usa y se llevó datos. El grupo que se atribuye el ataque asegura que todo empezó con llamadas telefónicas a empleados.
El 25 de agosto de 2026, McKesson descubrió que alguien había estado dentro. La empresa presentó un Formulario 8-K ante la Comisión de Bolsa y Valores de Estados Unidos (SEC) confirmando el acceso no autorizado a aplicaciones de terceros y el robo de datos. Dijo que la investigación "sigue en una etapa temprana" y que todavía no ha determinado si el incidente es relevante ni si es razonablemente probable que tenga un impacto significativo en su situación financiera o en sus resultados de operación.
El grupo extorsionador ShinyHunters le dijo a BleepingComputer que estuvo detrás del ataque. Su versión: vishing, phishing por voz. Alguien llama a un empleado y habla como si fuera la mesa de ayuda hasta que el empleado entrega el acceso. El grupo dice que así entraron a las cuentas de inicio de sesión único Okta de varios empleados —el único usuario que abre todo lo demás— y desde ahí, a los entornos de Salesforce y Snowflake de la empresa. Afirma haber sacado alrededor de 1 TB de datos en cuatro días, entre el 21 y el 25 de agosto.
McKesson no te vende nada directamente. Está en el medio, entre los fabricantes de medicamentos, las farmacias y las clínicas: medicinas, insumos, tecnología, servicios. Eso significa que tu nombre puede estar en sus sistemas sin que jamás hayas oído hablar de ella. Ahí está lo que vale la pena pensar: las empresas que guardan los datos más sensibles sobre tu salud muchas veces son empresas que nunca elegiste.
ShinyHunters afirma que los datos de Snowflake contienen alrededor de 284 millones de registros. Esa cifra ya se leyó mal una vez: reportes anteriores decían que 284 millones de pacientes quedaron expuestos. El propio grupo le aclaró a BleepingComputer que se trata de un conteo bruto de registros —líneas en una tabla— y no de personas únicas, y que todavía no terminó de analizar los datos ni sabe cuánta gente hay ahí.
Todavía nadie sabe a cuánta gente afecta esto. Ni nosotros, ni la empresa, ni siquiera los ladrones.
Lo que el grupo dice que hay ahí es la parte incómoda: nombres, direcciones, fechas de nacimiento, números de seguro social, identificaciones de paciente, teléfonos, correos electrónicos, números de Medicaid, números de historia clínica, información sobre medicamentos y alergias, enfermedades, discapacidades, datos de turnos médicos e información de los médicos. También asegura tener datos de pacientes fallecidos y en fase terminal, recetas y envíos de medicamentos. BleepingComputer no verificó nada de esto de forma independiente, y McKesson no dijo públicamente qué se llevaron. El grupo dice que exigió 55.236.150 dólares con un plazo de 72 horas, y que McKesson no respondió ni negoció.
Cualquiera que haya comprado un medicamento con receta en una farmacia de Estados Unidos: nunca elegiste a McKesson, McKesson simplemente está en la cadena de suministro detrás del mostrador. Y cualquiera cuyo trabajo sea atender el teléfono: mesas de ayuda, personal de soporte, empleados nuevos con un usuario de la empresa. La forma de entrar aquí no fue una falla técnica sofisticada, fue una conversación. Una fuente le dijo a BleepingComputer que los atacantes usaron un dominio llamado mckesson[.]claims, que coincide con una campaña de ShinyHunters documentada por ReliaQuest, en la que el grupo registra dominios del tipo empresa[.]claims para hacerse pasar por la propia mesa de ayuda y el equipo de TI del objetivo. Si tienes 24 años y eres el más nuevo del equipo, esa llamada te estaba buscando a ti.
McKesson dice que su investigación sigue abierta y que dará más información a medida que tenga una comprensión más completa, con actualizaciones en www.mckesson.com/cybersecurity. Los clientes podrían notar fallas intermitentes en el servicio que la empresa cree que están relacionadas con el ataque. No hay plazo, ni fecha, ni un próximo comunicado anunciado: la empresa no dijo cuándo dirá más, y tampoco lo dijo nadie más.
El monto del rescate no era un número redondo. Eran 55.236.150 dólares, calculado hasta el último dólar, como si alguien hubiera hecho una cuenta exacta. Después, según los atacantes, McKesson simplemente no respondió. Si negarse a pagar se convierte en la norma, los datos no desaparecen. Solo dejan de tener comprador.
Fuentes: Bleeping Computer, «McKesson discloses breach after ShinyHunters claims patient data theft», 28 de agosto de 2026; Formulario 8-K de McKesson presentado ante la Comisión de Bolsa y Valores de Estados Unidos (SEC) y aviso a clientes, según se cita en el mismo.
Al mayor distribuidor de medicamentos de Estados Unidos le robaron alrededor de un terabyte de datos: según los extorsionadores, ahí hay números de seguro social, diagnósticos, alergias y recetas, y la empresa se negó a pagar un rescate de 55 millones de dólares.
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones