医療・医薬品流通大手のMcKessonは、サードパーティ製アプリケーションへの不正アクセスとデータ窃取を伴うサイバーセキュリティインシデントを公表しました。恐喝グループShinyHuntersは、患者データ2億8,400万件を盗み出したと主張しています。
McKessonは、医薬品や医療用品、技術、サービスを医療提供者や薬局に提供する、米国有数の医療関連企業・医薬品流通会社です。
今回の情報漏えいについては、CyberInsiderが本日先に報じており、McKessonはその後、米証券取引委員会(SEC)へのForm 8-K提出書類の中でこれを公表しました。
McKessonによると、このサイバーセキュリティインシデントを認知したのは2026年8月25日で、調査はまだ初期段階にあるとのことです。
McKessonはSECへの提出書類の中で、「本インシデントに関する情報は、最新情報も含め、当社ウェブサイトwww.mckesson.com/cybersecurityで確認できる」と述べています。
「本提出書類の日付時点で、当社は本インシデントが重要であるとの判断、あるいは当社の財務状況や事業成績を含む業績に重要な影響を及ぼした、または及ぼす可能性が合理的に高いとの判断には至っていない」としています。
McKessonは顧客向けの別の通知の中で、今回のインシデントがサードパーティ製アプリケーションに関わるものであり、データへの不正アクセスと窃取が発生したことを認めています。
McKessonの通知には、「当社はパートナーや顧客、そしてその患者の皆様のセキュリティとプライバシーを非常に重視している。発覚後直ちにインシデント対応プロトコルを起動し、調査を開始するとともに、対応を支援する著名なサイバーセキュリティ業界の専門家を招聘した」と記されています。
同社は、インシデントの全容把握に向けて調査を継続中であるとしています。
McKessonはまた、今回の攻撃に関連するとみられる断続的なサービス低下が顧客側で発生する可能性があると警告する一方、社内環境のシステムを予防的に切り離す対応は行っていないとしています。
現時点でMcKessonは、どのサードパーティ製アプリケーションが侵害されたのか、攻撃者がどのように侵入したのか、どのような情報が盗まれたのかについて、公には明らかにしていません。
McKessonの調査は引き続き進行中であり、インシデントの全体像がより明確になり次第、追加情報を提供するとしています。
ShinyHuntersが犯行を主張
恐喝グループShinyHuntersはBleepingComputerに対し、自分たちがこの攻撃の実行者であると述べ、McKessonの複数の従業員を標的にした音声フィッシング(ビッシング)によるソーシャルエンジニアリング攻撃を経てアクセス権を得たと主張しています。
ShinyHuntersは、キャンペーンで使用したドメインなど、ソーシャルエンジニアリング攻撃に関する技術的詳細の多くについては明らかにしませんでした。しかしBleepingComputerは別の情報源から、攻撃者が今回の攻撃でmckesson[.]claimsというドメインを使用していたことを把握しています。
このドメインは、ReliaQuestの脅威リサーチチームが最近報告したShinyHuntersのキャンペーンと一致します。同チームによると、この恐喝グループは標的企業の名称や略称を含む「.claims」ドメインを登録し、標的企業のヘルプデスクやITチームになりすましていたということです。
ReliaQuestは、現在は削除されたX(旧Twitter)への投稿の中で、「ReliaQuestは、company[.]claimsというパターンに従うドメインを使用した、大規模なShinyHuntersのキャンペーンを追跡している。これらのドメインは、標的組織の名称や略称を.claimsというTLD(トップレベルドメイン)の下に組み込んだものだ」と述べていました。
ShinyHuntersはBleepingComputerに対し、このビッシング攻撃によって複数の従業員のOktaシングルサインオン(SSO)アカウントが侵害され、それを悪用して同社のSalesforceおよびSnowflake環境にアクセスしたと説明しています。
この脅威アクターは、サポートケースを含むSalesforce環境を完全に侵害したと主張しています。また、Snowflakeからはさらに大規模な患者関連データ群を窃取したとも主張しています。
ShinyHuntersによると、脅威アクターは8月21日から8月25日までの4日間で、約1TBのデータを外部に持ち出したとしています。
脅威アクターはさらに、Snowflakeから盗み出したデータには患者関連情報のレコードが約2億8,400万件含まれていると主張しています。ただし、これは今回の情報漏えいによって2億8,400万人の患者が影響を受けたことを意味するものではありません。
これまでの報道では、2億8,400万人分の患者情報が流出したとされていました。しかしShinyHuntersはBleepingComputerに対し、この数字は実際にはユニークな個人数ではなく、データレコード(行)の単純な件数として約2億8,400万件であると説明しています。
この脅威アクターはBleepingComputerに対し、盗み出したデータをまだ完全には分析しておらず、それらのレコードに何人分のユニークな個人情報が含まれているかは把握していないと述べています。
ShinyHuntersは、盗み出した情報には氏名、住所、生年月日、社会保障番号(SSN)、患者ID、電話番号、メールアドレス、メディケイド番号、医療記録番号、投薬・アレルギー情報、疾患、障害、予約情報、担当医情報が含まれていると主張しています。
同グループはさらに、このデータには死亡した患者や末期患者に関する情報、処方箋や医薬品の出荷情報、請求書、従業員情報、Salesforceの記録、社内のやり取り、McKessonのサービスを利用している医療提供者や医療機関の情報も含まれていると主張しています。
BleepingComputerはこれらの主張を独自には検証しておらず、McKessonもどのような情報が盗まれたのかを公には明らかにしていません。
同グループによると、8月25日にデータ窃取を完了した後にMcKessonへ連絡を取り、5,523万6,150ドルの身代金を要求し、72時間の回答期限を設けたとしています。ShinyHuntersによれば、McKessonは身代金要求への応答や交渉には応じなかったということです。
今回の攻撃は、ShinyHuntersによるものとされる、医療および医療テクノロジー組織を標的としたデータ窃取攻撃の波が続く中で発生しました。
Health-ISACは最近、医療機関に対して、企業アカウントの侵害やクラウド・SaaSプラットフォームへのアクセス獲得を狙ったソーシャルエンジニアリングを伴う、ShinyHuntersによる攻撃の増加について警告を発しています。
最近のShinyHuntersによるデータ窃取攻撃で標的となったその他の医療テクノロジー企業には、Medtronic、DentaQuest、iRhythm、OneMedical、AdaptHealthなどが含まれます。
