L’incidente in sintesi
Il 28 e 29 agosto 2026 BleepingComputer e CyberNews hanno riferito che il gruppo ShinyHunters rivendica una violazione ai danni di McKesson Corporation, il maggiore distributore farmaceutico degli Stati Uniti. Secondo il gruppo, l’operazione si è svolta dal 21 al 25 agosto e ha colpito gli ambienti Snowflake e Salesforce di McKesson, con un bottino di circa 1 TB contenente 284 milioni di record. McKesson ha scoperto l’incidente il 25 agosto e lo ha confermato lo stesso giorno depositando un modulo 8-K presso la SEC, l’autorità di vigilanza sui mercati statunitense.
McKesson non ha confermato la cifra di 284 milioni, le tipologie di dati né il vettore d’attacco. Finché l’azienda non avrà concluso l’indagine forense e inviato le notifiche ufficiali, ogni numero attribuito a ShinyHunters va trattato come rivendicazione e non come fatto accertato. È accertato che McKesson ha subito un incidente di cybersicurezza abbastanza grave da richiedere un 8-K e che un noto gruppo di estorsione se ne attribuisce la paternità con una richiesta di 55,2 milioni di dollari.
Come hanno fatto gli attaccanti ad accedere contemporaneamente a Snowflake e Salesforce?
ShinyHunters ha un modus operandi documentato: usare credenziali raccolte in massa per compromettere tenant SaaS su larga scala. Nel 2024 il gruppo ha condotto una campagna contro clienti di Snowflake – tra cui AT&T, Ticketmaster e Advance Auto Parts – sfruttando account privi di autenticazione a più fattori (MFA) obbligatoria. Le credenziali erano state sottratte mesi prima da infostealer installati su laptop di sviluppatori, sistemi CI/CD e computer di fornitori.
Il meccanismo è semplice: un utente installa un infostealer (spesso tramite phishing o uno strumento contraffatto), il malware raccoglie le password salvate nel browser e i file dei token, e le credenziali vengono vendute o conservate per un uso successivo. Se la piattaforma SaaS non richiede l’MFA a ogni sessione, o se l’attaccante ottiene direttamente un token di sessione valido, può autenticarsi senza attivare i controlli basati sulla password. Account Snowflake, Connected App di Salesforce e account di servizio usati per ETL o pipeline di dati sono bersagli frequenti: hanno spesso accesso in lettura a grandi volumi di dati critici e sono spesso esclusi dalle policy MFA pensate per l’accesso degli utenti finali.
Se l’indagine di McKesson confermerà un ingresso tramite credenziali, lo schema sarebbe lo stesso del 2024: nessuna vulnerabilità nei prodotti Snowflake o Salesforce, ma una lacuna nei controlli di accesso applicati dal cliente su quelle piattaforme.
Che cosa ha confermato McKesson e che cosa no
Il modulo 8-K attesta che McKesson ritiene che un incidente di cybersicurezza si sia verificato il 25 agosto 2026 o prima. Le regole della SEC impongono a una società quotata di depositare l’8-K entro quattro giorni lavorativi dal momento in cui stabilisce che un incidente è «rilevante o ragionevolmente suscettibile di esserlo». Il documento non descrive perimetro, vettore o dati coinvolti; questi dettagli emergono di solito nei successivi rapporti 10-Q o 10-K, in 8-K integrativi o attraverso le notifiche obbligatorie alle autorità.
McKesson non ha confermato la responsabilità di ShinyHunters, il coinvolgimento di Snowflake o Salesforce, l’accesso a dati dei pazienti né la cifra di 284 milioni. Al momento della pubblicazione l’indagine era ancora in corso. Nelle attività di distribuzione farmaceutica e servizi tecnologici, McKesson è sia «covered entity» sia «business associate» ai sensi di HIPAA; se sono state consultate informazioni sanitarie protette (PHI), ha obblighi di notifica indipendentemente dal fatto che commenti pubblicamente la rivendicazione di ShinyHunters.
Cosa significa per i team che sviluppano software sanitario
Che i numeri di ShinyHunters si rivelino esatti o meno, lo schema del presunto attacco è istruttivo per qualsiasi team che sviluppa o gestisce software per la sanità e conserva dati dei pazienti su piattaforme cloud di analytics o CRM.
I termini di notifica HIPAA sono fissi. Se l’indagine confermerà un accesso non autorizzato a PHI, il termine di 60 giorni per informare gli interessati è decorso dalla data di scoperta (25 agosto). Per le violazioni che coinvolgono 500 o più persone in uno Stato americano, McKesson deve anche avvisare l’Office for Civil Rights (OCR) del Dipartimento della Salute statunitense (HHS) e i principali media di quello Stato entro gli stessi 60 giorni. I team i cui sistemi poggiano sull’infrastruttura dati di McKesson – sistemi per farmacie, data warehouse sanitari, analytics della supply chain – dovrebbero rileggere subito i propri Business Associate Agreement (BAA) per capire dove iniziano i loro obblighi di notifica.
I controlli sugli accessi massivi in Snowflake non sono facoltativi. Snowflake consente di configurare a livello di account l’obbligo di MFA, le network policy e le row access policy. Molte organizzazioni attivano l’MFA per gli strumenti BI degli utenti finali, ma lasciano account di servizio e connessioni ETL con semplici chiavi API. Una sola chiave API o un token di sessione del browser compromesso può dare a un attaccante privilegi equivalenti ad ACCOUNTADMIN, che a un DBA richiedono mesi per essere costruiti. Se il vostro account Snowflake contiene dati sanitari – dati di rimborso, referti di laboratorio, storici delle prescrizioni –, gli account di servizio vanno ruotati spesso, l’MFA o l’autenticazione basata su certificati va imposta per tutti i tipi di connessione e le network policy devono limitare l’accesso a intervalli IP noti.
Le Connected App di Salesforce sono un punto di esfiltrazione tipico. Le Connected App con accesso Bulk API («Chatter API» o scope API standard) possono esportare grandi volumi di record con un solo token OAuth. Verificate quali Connected App della vostra org Salesforce hanno accesso API completo o nessuna restrizione IP. Scadenza dei token e revoca dei refresh token vanno automatizzate, non gestite a mano.
La scala di 284 milioni mostra quanto velocemente si muovono le esportazioni massive. Secondo ShinyHunters l’intera operazione è durata dal 21 al 25 agosto: cinque giorni. Con 284 milioni di record, significa un ritmo medio di diverse decine di milioni di righe al giorno. Il comando COPY INTO di Snowflake e la Bulk API di Salesforce sono progettati proprio per questi volumi. Gli strumenti SIEM e DLP che segnalano volumi di esportazione anomali sono il principale meccanismo di rilevamento; vanno tarati specificamente sull’attività delle API di esportazione massiva, non solo sul volume delle query interattive.
Checklist di hardening immediato per i dati sanitari in SaaS cloud
- Snowflake: imporre l’MFA a tutti gli utenti e agli account di servizio. Eseguite
SHOW USERSe controllateHAS_MFA. Gli account di servizio che si autenticano con coppia di chiavi o OAuth dovrebbero usare token di breve durata (15 minuti) e network policy limitate a intervalli IP noti. - Snowflake: verificare le catene di privilegi ACCOUNTADMIN e SYSADMIN. Eseguite
SHOW GRANTS ON ROLE ACCOUNTADMINe ricostruite ogni utente che può ottenere quel ruolo. Revocate i permessi precedenti all’ultima revisione degli accessi. - Snowflake: analizzare QUERY_HISTORY per il periodo 21–25 agosto. Cercate comandi COPY INTO verso stage esterni, SELECT * massivi con un numero elevato di righe e accessi da intervalli IP esterni alla vostra network policy. È il vostro indicatore di compromissione se usate le stesse piattaforme di McKesson.
- Salesforce: verificare le Connected App con scope API. In Setup → Connected Apps → Manage, esaminate le app con accesso API completo o Chatter API, le eccezioni sulle restrizioni IP e la durata dei token.
- Salesforce: ruotare le credenziali delle integrazioni. Ogni integrazione Salesforce (ETL, BI, portali esterni) che si autentica con nome utente e password va migrata a flussi OAuth tramite Connected App, con token di breve durata e restrizioni IP.
- Rivedere i contratti: BAA e nomina a responsabile del trattamento. Se usate a valle l’infrastruttura dati di McKesson, recuperate il vostro BAA e, per i dati europei, l’accordo ai sensi dell’articolo 28 del GDPR: quali tempi di notifica prevede e il fornitore è tenuto ad avvisarvi entro un termine preciso se i vostri dati sono coinvolti?
- Allarmi SIEM sulle API di esportazione massiva. Se il vostro SIEM non segnala un uso anomalo delle API di esportazione (COPY INTO di Snowflake, volume di query della Bulk API di Salesforce), aggiungete questi rilevamenti prima della fine del prossimo sprint.
Domande frequenti
McKesson ha confermato il furto di 284 milioni di record?
No. McKesson ha confermato un incidente con un modulo 8-K della SEC depositato il 25 agosto 2026, ma non ha confermato la portata, il vettore né le tipologie di dati rivendicate da ShinyHunters. La cifra di 284 milioni proviene dal post del gruppo stesso e va considerata non verificata finché McKesson non avrà concluso l’indagine e inviato le notifiche ufficiali.
Quali tipologie di dati ShinyHunters sostiene di aver sottratto a McKesson?
ShinyHunters sostiene che i dati rubati comprendano numeri di previdenza sociale statunitensi, diagnosi, prescrizioni e numeri di cartella clinica. Se confermate, queste categorie costituirebbero informazioni sanitarie protette (PHI) ai sensi di HIPAA, con obbligo di notifica agli interessati, all’HHS ed eventualmente alle autorità dei singoli Stati. McKesson non ha confermato queste tipologie di dati.
Quali obblighi di notifica HIPAA ha McKesson dopo una violazione di questa portata?
In base alla HIPAA Breach Notification Rule, le covered entity devono informare gli interessati entro 60 giorni dalla scoperta di una violazione. Se in uno Stato sono coinvolte 500 o più persone, vanno avvisati anche i principali media di quello Stato. Ogni violazione che riguarda 500 o più persone va segnalata all’Office for Civil Rights (OCR) dell’HHS entro 60 giorni. McKesson ha scoperto l’incidente il 25 agosto 2026, quindi il termine scadeva il 24 ottobre 2026. Per confronto, il GDPR impone la notifica al Garante entro 72 ore.
Come hanno potuto gli attaccanti violare contemporaneamente Snowflake e Salesforce di McKesson?
ShinyHunters ha sempre sfruttato credenziali rubate in massa – raccolte da infostealer su computer di sviluppatori, ambienti CI e database di credenziali – per compromettere tenant SaaS privi di MFA obbligatoria. Nella campagna Snowflake del 2024 il gruppo ha usato credenziali sottratte mesi prima per accedere a decine di grandi tenant senza attivare il rilevamento delle anomalie, perché gli accessi sembravano provenire da intervalli IP noti. Gli account Salesforce con autenticazione a fattore singolo, soprattutto gli account di servizio per ETL o integrazioni, sono altrettanto vulnerabili. Un solo account cloud privilegiato compromesso può aprire in poche ore le API di esportazione massiva di entrambe le piattaforme.
Fonti
BleepingComputer — McKesson discloses breach after ShinyHunters claims patient data theft (August 28–29, 2026)
CyberNews — McKesson breached: ShinyHunters claims 284M records (August 28–29, 2026)
SEC EDGAR — McKesson Corporation (CIK 0000927653) Form 8-K filings