Un gigante de la distribución farmacéutica se ha convertido en el nombre más reciente de una lista creciente de empresas estadounidenses de atención médica atacadas por hackers que buscan historiales de pacientes. La filtración de datos de McKesson, revelada el 28 de agosto de 2026, ya ha desencadenado una demanda de rescate por valor de decenas de millones de dólares y ha puesto en riesgo información médica sensible de lo que podrían ser millones de pacientes.
Summary
Puntos clave
- McKesson detectó acceso no autorizado a aplicaciones de terceros el 25 de agosto de 2026 y reveló el incidente en una presentación ante la SEC.
- El grupo de extorsión ShinyHunters afirma que robó aproximadamente 284 millones de registros de datos de los entornos Snowflake y Salesforce de McKesson, una cifra que representa filas de base de datos, no pacientes únicos confirmados.
- Los hackers dicen que utilizaron llamadas de vishing para engañar a empleados y secuestrar cuentas de inicio de sesión único de Okta, y luego se movieron lateralmente hacia sistemas en la nube durante una ventana de cuatro días entre el 21 y el 25 de agosto.
- ShinyHunters exigió un rescate de 55.236.150 $ y dio a McKesson 72 horas para responder; según se informa, la empresa nunca lo hizo.
- McKesson confirmó una degradación intermitente del servicio, pero se negó a decir cuántas personas se vieron afectadas o qué demanda de rescate recibió.
La filtración y las afirmaciones de ShinyHunters
La propia revelación de McKesson fue cuidadosamente redactada y escasa en detalles, pero confirmó el núcleo de la historia: los intrusos accedieron a aplicaciones de terceros y extrajeron datos antes de que la empresa se diera cuenta. La filtración de datos de McKesson fue detectada por primera vez internamente el 25 de agosto de 2026, y la empresa informó a la Comisión de Bolsa y Valores (SEC) que su investigación aún estaba «en sus primeras etapas», añadiendo que todavía no había determinado si el incidente era material desde el punto de vista financiero.
El director de información y tecnología de McKesson, Francisco Fraga, dijo a los clientes que el acceso no autorizado confirmado y la exfiltración de datos afectaron «a un subconjunto de clientes dentro de nuestras unidades de negocio de Oncología y Multiespecialidad y Médico-Quirúrgica». También dijo que la empresa no estaba desconectando proactivamente los sistemas y que no creía que los clientes necesitaran tomar medidas, aunque reconoció que la investigación seguía en curso.
Cómo entraron los hackers
ShinyHunters, descrito como una de las operaciones de extorsión de datos más activas de los últimos dos años, dijo a Bleeping Computer y TechCrunch que obtuvo acceso mediante llamadas de phishing de voz —o vishing— dirigidas a empleados de McKesson. Según el grupo, la campaña se basó en un dominio similar, mckesson[.]claims, creado para hacerse pasar por la mesa de ayuda interna o el equipo de TI de la empresa, una táctica que coincide con un patrón más amplio que los investigadores de ReliaQuest ya habían estado rastreando en múltiples organizaciones objetivo que utilizaban el esquema de nombres «.claims».
Una vez que los atacantes engañaron a los empleados para que entregaran sus credenciales, tomaron el control de las cuentas de inicio de sesión único de Okta. A partir de ahí, ShinyHunters dice que se desplazó hacia los entornos en la nube de Salesforce y Snowflake de McKesson, donde reside la mayor parte de los datos de pacientes y de negocio de la empresa.
Qué dicen que robaron
La magnitud del robo declarado es lo que hace que este incidente destaque. ShinyHunters dijo a Bleeping Computer que exfiltró aproximadamente un terabyte de datos en cuatro días, entre el 21 y el 25 de agosto, y que solo el entorno de Snowflake produjo alrededor de 284 millones de registros de datos. El grupo ha aclarado desde entonces que esta cifra refleja filas de base de datos sin procesar en lugar de un recuento confirmado de pacientes únicos, y admitió que no ha analizado completamente el botín para determinar cuántas personas están realmente representadas en él.
Esa distinción importa. Significa que el verdadero alcance de la filtración de datos de McKesson sigue siendo genuinamente incierto, incluso según los propios hackers, y McKesson no ha ofrecido su propia estimación.
Independientemente del número exacto de personas afectadas, las categorías de datos supuestamente robados son extensas. ShinyHunters dice que el botín incluye nombres, direcciones particulares, fechas de nacimiento, números de Seguro Social, identificadores de paciente, números de teléfono, direcciones de correo electrónico, números de Medicaid, números de historial médico, información sobre medicamentos y alergias, enfermedades, discapacidades, detalles de citas e información de médicos. El grupo también afirma que los archivos robados abarcan pacientes fallecidos y en fase terminal, registros de recetas y envíos de medicamentos, facturas, comunicaciones internas e información vinculada a proveedores de atención médica y clínicas que utilizan los servicios de McKesson. TechCrunch informó de que verificó una pequeña muestra de los datos filtrados frente a registros públicos, aunque ninguna de las afirmaciones más amplias ha sido confirmada de forma independiente por investigadores externos ni por la propia McKesson.
Separadamente de los historiales de pacientes, los hackers dicen que la información de empleados de McKesson —incluidas direcciones particulares— también fue capturada en la exfiltración, ampliando el impacto más allá de la base de clientes de la empresa.
Un ultimátum de 55 millones de dólares y la respuesta de McKesson
La extorsión, y no solo el robo, parece ser el objetivo final aquí. ShinyHunters dijo a Bleeping Computer que contactó con McKesson justo después de terminar el robo de datos el 25 de agosto y exigió un rescate de exactamente 55.236.150 $, dando a la empresa un plazo de 72 horas para responder. Según el grupo, McKesson nunca respondió a la demanda en absoluto.
Públicamente, McKesson se ha ceñido a un guion limitado. La portavoz Kristina Chang dijo a TechCrunch que la empresa «continúa operando en todas las líneas de negocio» y afirmó que McKesson no cree que haya actividad no autorizada en curso dentro de sus sistemas. La empresa confirmó que los clientes podrían experimentar una degradación intermitente del servicio relacionada con el incidente, pero se negó a responder preguntas específicas sobre la demanda de rescate o el número de personas cuyos datos se vieron afectados.
Ese silencio es notable por sí mismo. Por qué esto importa: cuando una empresa que maneja datos de pacientes a la escala de McKesson no confirma cuántas personas se ven afectadas, los pacientes, los proveedores y los reguladores se quedan adivinando la exposición real, y esa incertidumbre tiende a persistir mucho después de que se desvanezcan los titulares iniciales.
Un patrón creciente de ciberataques en el sector sanitario
McKesson no es un caso aislado: es la última entrada en una ola de ataques de rápida evolución contra empresas estadounidenses de atención médica y tecnología médica. Hace apenas una semana, un ciberataque golpeó al fabricante de dispositivos médicos Boston Scientific, causando una interrupción significativa en gran parte de su red, dejándola fuera de línea, lo que recuerda a un incidente anterior en el también fabricante de dispositivos Stryker, donde los hackers abusaron de herramientas internas para borrar de forma remota miles de dispositivos de empleados.
Abbott Laboratories y Medtronic también han sufrido ciberataques en los últimos meses. Filtraciones de datos afectaron a la empresa de tecnología sanitaria TriZetto y al proveedor de historiales médicos electrónicos CareCloud, cada una afectando a más de 3 millones de pacientes. El propio ShinyHunters también se ha atribuido el mérito de brechas en One Medical, propiedad de Amazon, y en la aseguradora dental DentaQuest, junto con ataques a Medtronic, iRhythm y AdaptHealth.
Health-ISAC ya ha advertido a las organizaciones sanitarias sobre la creciente ola de ataques de ShinyHunters basados en ingeniería social dirigida a cuentas corporativas y a plataformas en la nube o SaaS, exactamente el manual que supuestamente se utilizó contra McKesson. Para una industria que almacena algunos de los datos personales más sensibles que existen, la repetición de este mismo patrón de vishing seguido de brecha en la nube sugiere que los atacantes han encontrado un método que funciona de forma constante, y los ciberataques en el sector sanitario vinculados a grupos como ShinyHunters no muestran signos de desaceleración.
Preguntas frecuentes
¿Quién fue responsable de la filtración de datos de McKesson?
El grupo de hackers ShinyHunters se atribuyó la responsabilidad del ciberataque, afirmando que obtuvo acceso mediante llamadas de vishing e ingeniería social dirigidas a empleados de McKesson.
¿Qué tipo de datos se robaron en el ciberataque a McKesson?
ShinyHunters afirma que tomó aproximadamente 284 millones de registros de datos que contienen información personal e información de salud protegida, junto con datos personales de empleados como direcciones particulares. La cifra refleja filas de base de datos en lugar de un número confirmado de pacientes únicos.
¿Cómo accedieron los hackers a los sistemas de McKesson?
Según los hackers, las llamadas de vishing engañaron a los empleados para que entregaran sus credenciales, que se utilizaron para secuestrar cuentas de inicio de sesión único de Okta. A partir de ahí, los atacantes se desplazaron a los entornos en la nube de Salesforce y Snowflake alojados por McKesson para extraer datos.
¿Pagó McKesson el rescate exigido por los hackers?
McKesson se negó a revelar detalles sobre cualquier pago de rescate. ShinyHunters dice que exigió 55.236.150 $ con un plazo de 72 horas y que McKesson nunca respondió a la demanda.
{«@context»:»https://schema.org»,»@type»:»FAQPage»,»mainEntity»:[{«@type»:»Question»,»name»:»¿Quién fue responsable de la filtración de datos de McKesson?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»El grupo de hackers ShinyHunters se atribuyó la responsabilidad del ciberataque, afirmando que obtuvo acceso mediante llamadas de vishing e ingeniería social dirigidas a empleados de McKesson.»}},{«@type»:»Question»,»name»:»¿Qué tipo de datos se robaron en el ciberataque a McKesson?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»ShinyHunters afirma que tomó aproximadamente 284 millones de registros de datos que contienen información personal e información de salud protegida, junto con datos personales de empleados como direcciones particulares. La cifra refleja filas de base de datos en lugar de un número confirmado de pacientes únicos.»}},{«@type»:»Question»,»name»:»¿Cómo accedieron los hackers a los sistemas de McKesson?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Según los hackers, las llamadas de vishing engañaron a los empleados para que entregaran sus credenciales, que se utilizaron para secuestrar cuentas de inicio de sesión único de Okta. A partir de ahí, los atacantes se desplazaron a los entornos en la nube de Salesforce y Snowflake alojados por McKesson para extraer datos.»}},{«@type»:»Question»,»name»:»¿Pagó McKesson el rescate exigido por los hackers?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»McKesson se negó a revelar detalles sobre cualquier pago de rescate. ShinyHunters dice que exigió 55.236.150 $ con un plazo de 72 horas y que McKesson nunca respondió a la demanda.»}}]}
Artículo elaborado con la ayuda de inteligencia artificial y revisado por el equipo editorial.
