McKesson、サードパーティ経由のデータ侵害を確認

米国の大手医薬品卸売企業が、最近大規模なデータ侵害に見舞われました。McKessonは、侵入がサードパーティ製アプリケーションの侵害に直接関連していたことを認めています。同社は、悪名高いランサムウェアグループ「ShinyHunters」がダークウェブの恐喝ポータルにMcKessonを追加した直後に、このセキュリティインシデントを公式に確認しました。ハッカー側は、数億件に及ぶ極めて機密性の高い患者記録を窃取したと強く主張しています。

当初の発覚とSEC(米証券取引委員会)への届け出

McKessonは2026年8月25日に不審なネットワーク活動を公式に検知しました。同社はその3日後、迅速に米証券取引委員会(SEC)への届け出を行っています。社内調査は現時点でまだ初期段階にあります。同社は、権限のない第三者が特定のサードパーティ製アプリケーションへのアクセスに成功したことを確認しました。その結果、攻撃者はこれらの外部システム内に保管されていたデータを窃取したとみられています。ただしMcKessonは、影響を受けたサービスの正確な名称についてはまだ明らかにしていません。さらに、盗まれた情報の具体的な内容や、影響を受けた個人の総数についても詳細を示していません。SECへの正式な届け出の時点では、McKessonはこのインシデントが同社の財務状況や事業成績全体に重大な脅威をもたらすものとは見なしていませんでした。

ShinyHunters、大量の患者データ窃取を主張

ShinyHuntersが示す状況は、はるかに深刻な規模を示唆しています。このサイバー犯罪組織は、約1テラバイトの機密情報を盗み出したと公然と主張しています。この膨大なデータには、専用の患者データベースから直接抽出したとされる約2億8,400万件のレコードが含まれているとのことです。ただしこの数値はあくまでデータベースの行数を指すものであり、必ずしも2億8,400万人分の個人を意味するわけではありません。攻撃者自身も、実際に何人分の患者情報が侵害されたのか正確な人数はまだ特定できていないと認めています。

窃取されたとされるデータベースの内容

ShinyHuntersの主張によれば、盗まれたデータセットには広範な個人識別情報(PII)が含まれているといいます。具体的には、氏名、住所、生年月日、社会保障番号、電話番号、メールアドレスなどです。さらにハッカー側は、機密性の高い患者識別情報、Medicaid番号、完全な医療記録番号も入手したと主張しています。侵害されたとされる記録には、服用薬、重度のアレルギー、診断された病状、障害の有無、予約情報、担当医の情報なども含まれているといいます。現時点でMcKessonは、情報の具体的な内容や攻撃者が主張する膨大なデータ量について、その正確性の確認を明確に拒んでいます。

ビッシング攻撃による侵入経路の疑い

ShinyHuntersは、巧妙な音声フィッシング(ビッシング)攻撃を用いて企業インフラに侵入したと自ら誇示しています。攻撃者は電話で複数のMcKesson従業員を直接欺いたとされています。この手口により、従業員のOktaシングルサインオン認証情報の窃取に成功したとみられます。その後、ハッカーは厳重に保護されたSalesforceおよびSnowflakeの企業環境に侵入したと主張しています。これと密接に関連する別のキャンペーンでは、この同じハッカー集団が標的企業名を用いた偽ドメインを「.claims」ゾーン内に積極的に登録していることも確認されています。彼らはこうした偽サイトを常習的に展開し、正規の社内ITサービスポータルを巧妙に模倣しています。McKessonはこの具体的な侵入シナリオについては、まだ確認していません。

恐喝要求と交渉拒否

恐喝者側の主張によると、大規模なデータ窃取は8月21日から8月25日にかけて継続的に行われたとされています。この作戦の完了後、ShinyHuntersはMcKessonに対し5,520万ドルという巨額の身代金を強く要求しました。同グループは、この大手医薬品企業に対し、回答期限としてわずか72時間の猶予しか与えなかったといいます。ハッカーグループは、この医薬品大手が交渉への応諾を完全に拒否したと主張しています。現時点では、ShinyHuntersが公表した身代金の具体的な金額やその他の作戦内容について、第三者による検証は一切行われていません。

ヘルスケア物流データの機微性

McKessonは、重要な医薬品、先進的な医療機器、統合的な技術ソリューションの提供を主要事業としています。同社の主な顧客には、薬局や大手クリニックをはじめとする様々な重要医療機関が含まれます。その物流事業の規模の大きさゆえに、データ漏えいが発生した場合の影響は極めて深刻なものとなります。同社の巨大な業務システムでは、通常の連絡先情報に加えて、厳重に保護されるべき極めて機密性の高い医療情報も日常的に処理されています。同社は現在も徹底した社内調査を継続しています。McKessonは、インシデントの実態をさらに解明し次第、速やかに新たな関連情報を公表することを約束しています。