ShinyHunters reclama 284 millones de registros de McKesson y crece la brecha sanitaria

McKesson, uno de los mayores distribuidores sanitarios de Norteamérica, ha confirmado que unos intrusos accedieron a sus sistemas y exfiltraron datos, días después de que el grupo extorsionador ShinyHunters afirmara que había extraído registros correspondientes a hasta 284 millones de entradas de pacientes. La empresa reveló el incidente en una presentación Form 8-K ante la Comisión de Bolsa y Valores de Estados Unidos y confirmó que está investigando.

Lectura relacionada: La policía neerlandesa detiene al presunto líder de ShinyHunters mientras crece el impacto de la brecha del FBI · La filial de internet de Sony en Japón dice que una brecha expuso 2,6 millones de registros.

Las cifras son extraordinarias, y también lo es la forma en que, según los reportes, se desarrolló la intrusión: no mediante una vulnerabilidad de software, sino mediante una llamada telefónica. Según BleepingComputer y CyberInsider, ShinyHunters dijo a los periodistas que usó phishing de voz (vishing) para engañar a empleados y obtener credenciales, y luego utilizó esos inicios de sesión para tomar el control de cuentas de inicio de sesión único de Okta. Desde allí, el grupo dijo que pasó a los entornos de Salesforce y Snowflake de la empresa y exfiltró alrededor de un terabyte de datos durante cuatro días, entre el 21 y el 25 de agosto.

McKesson dijo que detectó el incidente por primera vez el 25 de agosto. En su aviso público, la empresa describió «un incidente de ciberseguridad que involucra aplicaciones de terceros y acceso no autorizado y exfiltración de datos», y dijo que el incidente parece afectar datos relacionados con «un subconjunto de clientes dentro de nuestras unidades de negocio Oncology & Multispecialty y Medical-Surgical».

La cifra de 284 millones, desglosada

La advertencia más importante de esta historia es que 284 millones no son 284 millones de personas. ShinyHunters alimentó inicialmente titulares que sugerían esa cantidad de pacientes afectados; después el grupo aclaró a BleepingComputer que la cifra es un recuento bruto de aproximadamente 284 millones de registros o filas, y que no ha analizado el botín con suficiente detalle para saber cuántas personas únicas contiene. Un paciente suele aparecer en muchas filas (citas, recetas, facturas, comunicaciones), por lo que el número real de personas es casi con certeza menor, aunque la exposición práctica puede seguir siendo enorme.

ShinyHunters afirma que los datos incluyen nombres, direcciones, fechas de nacimiento, números de la seguridad social, identificadores de pacientes, teléfonos, correos electrónicos, números de Medicaid, números de historia clínica, información sobre medicamentos y alergias, enfermedades y diagnósticos, detalles de citas e información de médicos. También afirma tener registros de empleados, datos de facturación y recetas, comunicaciones internas y lo que CyberInsider describió como contenido de correos entre médicos y pacientes, aunque no archivos adjuntos. Nada de esto ha sido verificado de forma independiente, y McKesson se ha negado a confirmar los tipos de datos concretos o el número de personas afectadas.

De una llamada telefónica a un almacén en la nube

La mecánica importa porque se repite en casi todas las campañas de ShinyHunters. El vishing elude los controles técnicos atacando a las personas: un atacante se hace pasar por el servicio de asistencia informática, convence a un empleado de leer un código de un solo uso o aprobar una notificación push, y hereda la identidad de ese empleado en el proveedor de identidad. Una vez dentro de Okta, el atacante suele alcanzar todo aquello a lo que esa identidad tiene derecho, en este caso las aplicaciones SaaS donde viven los datos empresariales sensibles.

Snowflake y Salesforce ocupan un lugar especial en este guion. Ambos están ampliamente desplegados, ambos concentran enormes cantidades de datos de clientes y ambos son accesibles con credenciales robadas si una organización no ha añadido autenticación fuerte y resistente al phishing y revisiones de acceso estrictas. Los investigadores de seguridad llevan buena parte del último año advirtiendo que los grupos de robo de datos han aprendido a saltarse por completo el cifrado de ransomware y simplemente copiar los datos de los almacenes en la nube para luego extorsionar a la víctima con la amenaza de publicarlos. ReliaQuest, que siguió la campaña, señaló según los reportes que ShinyHunters usaba dominios señuelo con el patrón .claims que nombran al objetivo.

ShinyHunters dijo a BleepingComputer que exigió 55.236.150 dólares y dio a McKesson 72 horas para responder. El grupo dijo que la empresa nunca contestó.

Por qué la sanidad recibe golpes una y otra vez

McKesson ocupa el centro de la cadena de suministro farmacéutico de Estados Unidos: distribuye aproximadamente un tercio de los medicamentos con receta a hospitales, farmacias y clínicas, y opera la franquicia de farmacias Health Mart. Eso la convierte en un objetivo rico por razones que trascienden su propio balance: los datos que guarda combinan información de identidad, detalle clínico y registros financieros, exactamente el perfil que buscan los atacantes tanto para extorsión como para fraude posterior.

La empresa es además el último nombre de una serie de brechas sanitarias atribuidas a ShinyHunters o a grupos que usan tácticas similares, que según los reportes incluyen Abbott Laboratories, Baxter International, Medtronic, DentaQuest y los sistemas heredados de One Medical de Amazon. El patrón sugiere una cadena de intrusión profesionalizada: identidades baratas, lagos de datos en la nube y palanca basada en la publicación, repetida a escala industrial contra una industria que funciona con sistemas heredados y márgenes estrechos.

El conjunto de datos más valioso de la sanidad no es un registro individual. Es la capacidad de unir identidad, afección y receta en una sola imagen de una persona, y eso es justo lo que tiene un intermediario de distribución.

El manual de extorsión es la verdadera lección

El ransomware significaba antes archivos bloqueados y una clave de descifrado. El modelo de ShinyHunters es más simple y, desde la perspectiva del atacante, más eficiente: robar una copia, amenazar con publicarla y negociar partiendo de que el mayor temor de la víctima es regulatorio y reputacional, no operativo. El RGPD de la Unión Europea y las leyes estatales de notificación de brechas convierten la publicación en una responsabilidad concreta. Por eso el plazo del grupo (y el aparente silencio de McKesson) es la parte que hay que vigilar.

Conviene precisar qué significa aquí «robo de datos». Si el material exfiltrado incluye números de la seguridad social, números de Medicaid y diagnósticos detallados, el daño se despliega durante años: robo de identidad, fraude en facturación médica y phishing muy convincente que puede citar una receta o una cita real. A diferencia de un número de tarjeta de crédito, un diagnóstico no puede reemitirse. Esa asimetría es lo que hace que los datos sanitarios sean singularmente peligrosos y singularmente valiosos.

Un guion conocido, ejecutado a escala

ShinyHunters no es nuevo. El grupo lleva años vinculado a robos de datos de alto perfil, y sus campañas recientes se han aglutinado en torno a una fórmula repetible: manipular socialmente una identidad, pivotar hacia un inquilino SaaS y exfiltrar desde una plataforma de datos en la nube. El giro del ransomware basado en cifrado hacia el puro robo y extorsión elimina la parte más difícil de la cadena de suministro criminal (mantener y operar una herramienta de cifrado y una infraestructura de negociación), pero conserva la mayor parte de la palanca, porque la amenaza de publicar es lo que realmente mueve a las víctimas.

El almacén de datos en la nube se ha convertido en la salida preferida. En 2025, una oleada de compromisos de cuentas de Snowflake obligó a decenas de grandes organizaciones a revelar robo de datos, y las lecciones de esa oleada (exigir autenticación fuerte, restringir el acceso de red, auditar cuentas inactivas y vigilar volúmenes de exportación inusuales) son las mismas que se aplican aquí. Salesforce, por su parte, es el sistema de registro de las relaciones con clientes y a menudo acumula detalles mucho más sensibles de lo que los equipos esperan, incluidas notas de soporte y comunicaciones. Cuando un atacante puede leer ambos, el conjunto resultante no es la filtración de un sistema, sino el perfil de una empresa.

Hay un riesgo de segundo orden que recibe menos atención: el mercado de corredores de datos para registros robados. ShinyHunters no existe aislado, y los conjuntos robados de datos sanitarios tienen una larga vida posterior en los ecosistemas de fraude incluso cuando se paga un rescate o se retira un sitio de filtraciones. Por eso el consejo habitual (congelar el crédito, vigilar facturaciones médicas que no reconozca y desconfiar de comunicaciones que citen datos personales reales) sigue siendo relevante durante mucho tiempo.

El reloj regulatorio ya está en marcha

La presentación de McKesson ante la SEC es en sí misma una señal. Las empresas cotizadas deben revelar incidentes de ciberseguridad materiales, y el lenguaje de McKesson («fase temprana», aún no material) es la posición de partida estándar mientras continúa la labor forense. Esa evaluación puede cambiar. Según la norma estadounidense de notificación de brechas de HIPAA, por lo general se debe notificar a las personas afectadas en un plazo de 60 días desde el descubrimiento de una brecha de información de salud protegida no cifrada, y los fiscales generales estatales tienen sus propios plazos, a veces más cortos, y sus propios requisitos de notificación. Con un conjunto de datos tan amplio, el solo ejercicio de notificación será enorme.

La brecha llega además en un periodo de mayor atención regulatoria a la ciberseguridad sanitaria, tras una serie de ataques contra fabricantes de dispositivos médicos, sistemas hospitalarios y procesadores de reclamaciones. Reguladores y legisladores han preguntado repetidamente por qué una industria que guarda la categoría más sensible de datos personales ha tardado tanto en adoptar autenticación resistente al phishing y gobernanza de datos en la nube. El caso de McKesson se convertirá en un punto de datos más de ese debate.

Qué observar

Tres cosas determinarán cómo se resuelve esto. Primera, la investigación de McKesson: si logra establecer el número real de personas afectadas y comenzar el proceso de notificación que exigen las leyes estatales y, potencialmente, HIPAA. Segunda, si la orientación de «no se requiere acción» se mantiene o se revisa; ese lenguaje suele suavizarse cuando las firmas forenses terminan su trabajo. Tercera, si la industria trata esto como un problema de identidad en la nube y no como un problema de McKesson. La víctima concreta cambiará; el guion no.

Está también la cuestión del plazo del rescate. Los grupos de extorsión suelen escalar de un plazo incumplido a filtraciones parciales diseñadas para presionar a la víctima y demostrar que los datos son reales. Que ShinyHunters lo lleve a cabo y cómo responda McKesson darán forma a la siguiente fase de la historia. Por ahora, la posición de la empresa es que las operaciones son normales y que los clientes no necesitan actuar: una afirmación razonable para tomar al pie de la letra, pero no para confiar en ella sin seguir el expediente de cerca.