医療企業のMcKessonは、ハッカーがサードパーティ製アプリケーションに侵入しデータを窃取したサイバーセキュリティインシデントを公表しました。
McKessonは、医薬品や医療用品などのヘルスケア製品を薬局・病院・診療所に流通させる米国大手ヘルスケア企業です。
SECへの提出書類によると、侵入は2026年8月25日に検知されました。同社は調査が「まだ初期段階」にあるとし、このインシデントが重大なものか、財務や事業運営に影響を及ぼす可能性があるかについては、現時点で判断していないとしています。
McKessonのサイバーセキュリティ情報ページでは、顧客向けにも一般向けの広報声明とほぼ同じ説明が掲載されています。
McKessonのEVP兼最高情報技術責任者(CITO)を務めるFrancisco Fraga氏は次のように述べています。「これまでの調査結果、および対応を支援する一流のサイバーセキュリティ専門家による評価に基づき、サードパーティ製アプリケーションへの不正アクセスと一部データの窃取は、当社のOncology & Multispecialty部門およびMedical-Surgical部門の顧客の一部に関連するものであることを確認しました」
同社によると、自社のセキュリティチームと社外専門家が、システムの可用性や事業運営への影響を最小限に抑えるべく対応にあたっており、顧客は今回のインシデントに関連すると思われる一時的なサービス低下を経験する可能性があるとしています。
Fraga氏はさらに、「現時点で得られている情報に基づけば、顧客側で対応が必要な行動はないと考えており、現時点では当社環境内のシステムを予防的に切断することもしていません」と付け加えました。
Fraga氏は「当社は引き続き環境を注意深く監視し、業務の安全性と信頼性を維持するための対策を講じてまいります」と締めくくっています。
McKessonは攻撃の実行者や窃取されたデータの量について詳細を明らかにしていませんが、恐喝グループShinyHuntersが関与しているとみられます。
ShinyHuntersはBleepingComputerに接触し、McKessonの従業員に対するビッシング(音声フィッシング)電話で侵入し、窃取した認証情報を使ってOkta シングルサインオンアカウントを乗っ取ったと述べています。同グループの主張によれば、そこからMcKessonのSalesforceおよびSnowflake環境に侵入し、4日間かけて約1テラバイトのデータを持ち出したとしています。
ShinyHuntersによると、8月25日にデータ窃取を完了した後にMcKessonへ連絡を取り、5,523万6,150ドルを要求、回答期限として72時間を与えたとのことです。同グループはBleepingComputerに対し、McKessonから返答は一切なかったと語っています。
ハッカー側は2億8,400万件のデータレコードを保有していると主張していますが、これは個々の患者数ではなくデータベースの行数を反映した数字です。窃取したものとして、氏名、住所、生年月日、社会保障番号、患者ID、Medicaid(医療扶助制度)の詳細、医療記録番号、投薬・アレルギー情報、医師情報のほか、内部のSalesforce記録や従業員データも挙げています。
これらの主張はいずれも第三者による検証が行われていません。
ここ最近、ヘルスケア企業がハッカーの標的として注目を集めているようです。先週はBoston Scientificの情報漏洩について取り上げましたが、これも今年サイバー攻撃の被害を受けた数多くの医療機器企業の一例にすぎません。
翻訳元: https://www.helpnetsecurity.com/2026/08/31/healthcare-company-mckesson-data-breach/
