McKesson, uno dei più grandi gruppi americani nella distribuzione farmaceutica e nei servizi sanitari, ha confermato che un incidente informatico scoperto il 25 agosto ha comportato accesso non autorizzato ad alcune applicazioni di terze parti e l’esfiltrazione di dati associati a una parte dei clienti delle divisioni Oncology & Multispecialty e Medical-Surgical. È un aggiornamento importante rispetto alla prima comunicazione depositata alla Securities and Exchange Commission, nella quale la società aveva segnalato un incidente sui propri sistemi senza aver ancora determinato un impatto materiale sul business.
Il gruppo criminale ShinyHunters ha rivendicato l’attacco e sostiene di aver sottratto milioni di record di pazienti attraverso ambienti collegati a Snowflake e Salesforce. Quella dimensione non è stata confermata pubblicamente da McKesson e va quindi trattata come un’affermazione dell’attaccante, non come un dato accertato. Ciò che la società ha confermato è tuttavia sufficiente a rendere il caso significativo: dati sanitari e informazioni relative a clienti sono stati effettivamente esfiltrati attraverso applicazioni esterne, in un settore nel quale identità, diagnosi, terapie e relazioni commerciali hanno un valore elevato sia per la frode sia per l’estorsione.
Dalla disclosure SEC alla conferma dell’esfiltrazione
Nel Form 8-K presentato il 28 agosto, McKesson ha dichiarato di aver scoperto l’incidente il 25 agosto e che l’indagine era ancora nelle prime fasi. A quella data la società non aveva concluso che l’evento fosse materialmente rilevante per la propria situazione finanziaria. In seguito, la società ha precisato che l’accesso non autorizzato aveva interessato determinate applicazioni di terze parti e che vi era stata esfiltrazione di dati collegata a una porzione dei clienti di due unità operative.
Questa sequenza è tipica delle grandi violazioni: la prima disclosure arriva quando l’organizzazione ha evidenza sufficiente per comunicare l’esistenza dell’incidente, mentre la ricostruzione dei dati coinvolti richiede più tempo. Infrastrutture distribuite, log su sistemi diversi e dipendenze SaaS fanno sì che il perimetro reale emerga progressivamente. Per il pubblico significa che i primi numeri circolati dopo un breach sono spesso incompleti o provengono dagli stessi criminali.
La sanità concentra dati difficili da sostituire
Una carta di credito può essere bloccata e riemessa; una diagnosi, una storia clinica o una relazione tra paziente e struttura non possono essere sostituite. È per questo che i dati sanitari restano particolarmente preziosi. Possono essere combinati con informazioni anagrafiche per costruire frodi, campagne di phishing o tentativi di estorsione molto più credibili di un messaggio generico.
McKesson opera inoltre in una posizione centrale della filiera sanitaria americana, servendo farmacie, ospedali, oncologia e strutture mediche. Quando una società di questa scala subisce un incidente, la domanda non riguarda soltanto quante persone siano direttamente colpite, ma quali relazioni tra sistemi e organizzazioni possano essere state esposte.
Il perimetro non coincide più con il data center
La conferma di applicazioni di terze parti riporta al centro un cambiamento già evidente in altri attacchi. Le aziende possono investire moltissimo nella protezione della rete interna e restare vulnerabili attraverso piattaforme cloud alle quali hanno legittimamente affidato processi e dati. CRM, analytics, supporto e data warehouse sono diventati parte del perimetro anche quando non sono fisicamente gestiti dall’azienda.
Questo sposta la sicurezza verso identità, token, configurazioni e privilegi. Un attaccante che ottiene credenziali valide per un servizio SaaS può muoversi senza utilizzare malware tradizionale. Il traffico parte da applicazioni legittime, i dati vengono interrogati attraverso API normali e l’attività può confondersi con quella di un dipendente finché non raggiunge volumi o pattern anomali.
Le rivendicazioni criminali devono essere verificate, non amplificate
ShinyHunters ha indicato numeri molto elevati e una richiesta di denaro riportata dalla stampa specializzata. Nel raccontare un incidente di questo tipo è fondamentale separare ciò che proviene dall’azienda e dai filing regolamentari da ciò che viene dichiarato dall’attaccante. I gruppi di estorsione hanno un incentivo evidente a enfatizzare dimensione e gravità del materiale ottenuto, perché la reputazione aumenta la pressione sulla vittima.
La prudenza non significa minimizzare. McKesson ha già riconosciuto esfiltrazione di dati e coinvolgimento di clienti. Significa evitare di trasformare un numero non verificato in un fatto. La stessa disciplina dovrebbe valere per ogni breach, soprattutto quando coinvolge salute e milioni di potenziali interessati.
Il rischio operativo va oltre la privacy
Un distributore sanitario è anche un’infrastruttura logistica. Farmaci e materiali devono arrivare in tempo a strutture che non possono semplicemente sospendere le attività. Un incidente informatico può quindi produrre un doppio rischio: perdita di dati e interruzione della capacità operativa. McKesson non ha dichiarato nel filing iniziale di aver determinato un impatto materiale sul business, ma la centralità della società rende ogni compromissione un evento da osservare anche sotto il profilo della continuità.
È uno dei motivi per cui la cybersecurity sanitaria sta diventando un tema di resilienza nazionale. Non basta proteggere la riservatezza delle cartelle; bisogna assicurare che ordini, consegne, prescrizioni e sistemi clinici continuino a funzionare durante l’incidente.
La risposta deve includere i fornitori
Per ridurre il rischio, le organizzazioni sanitarie devono sapere quali servizi esterni possono accedere a quali dati, per quale scopo e con quali credenziali. Privilegi minimi, segmentazione, autenticazione resistente al phishing, monitoraggio delle API e rotazione dei token possono ridurre il danno anche quando un account viene compromesso.
La gestione del rischio di terza parte non può fermarsi a un questionario annuale. Le piattaforme cambiano configurazioni e integrazioni continuamente. Serve un inventario vivo delle relazioni e, soprattutto, la possibilità di revocare rapidamente accessi senza paralizzare l’operatività.
La notifica sarà la seconda parte della storia
McKesson dovrà stabilire con precisione quali categorie di dati siano state coinvolte e quali persone debbano essere notificate. È spesso la fase più lunga perché i dataset aziendali non sono organizzati in funzione di un incidente: occorre ricostruire quali record appartengano a quali clienti e quali obblighi normativi si applichino.
Per gli interessati, il rischio può durare anni. Una password compromessa può essere cambiata; informazioni sanitarie e anagrafiche restano valide. Per questo la qualità della comunicazione è fondamentale: indicare concretamente quali dati sono stati sottratti e quali no permette alle persone di reagire in modo proporzionato.
Il caso McKesson è un avvertimento sulla sanità cloud
La digitalizzazione sanitaria ha prodotto enormi vantaggi: accesso più rapido ai dati, coordinamento tra strutture, logistica migliore, telemedicina e analisi su scala. Ma ha anche concentrato informazioni sensibili in piattaforme interconnesse. Il problema non è tornare indietro; è riconoscere che ogni nuova integrazione crea una relazione di fiducia che deve essere protetta come parte del sistema sanitario stesso.
Il dato più importante, quindi, non è il numero ancora contestato di record rivendicato dagli hacker. È la conferma che un accesso a servizi esterni è stato sufficiente per sottrarre dati da una delle aziende più centrali della sanità americana. Nel 2026 il perimetro di un ospedale o di un distributore non termina alla porta del data center: attraversa ogni piattaforma cloud a cui ha affidato una parte del proprio lavoro.
