McKesson meldt datadiefstal, ShinyHunters claimt route via Okta-SSO

McKesson meldt bij de Amerikaanse beurstoezichthouder SEC een cyberincident met ongeautoriseerde toegang tot externe applicaties en diefstal van data, terwijl afpersgroep ShinyHunters claimt dat het begon met een telefoontje naar de helpdesk.

De route die de aanvallers beschrijven gebruikt geen enkel lek. Een nep-helpdesk belt, een medewerker logt in op een namaakpagina, en daarmee ligt niet één systeem open maar alles wat achter dezelfde single sign-on hangt. Draait je bedrijf Salesforce, een datawarehouse en een servicedesk achter Okta of Entra ID, dan is de vraag die dit incident stelt niet of je wachtwoordbeleid klopt, maar hoeveel systemen één gestolen sessie in één keer opent.

Wat McKesson zelf bevestigt

De zorgdistributeur ontdekte het incident op 25 augustus 2026 en legde het op 28 augustus vast in een Form 8-K. Die melding staat onder Item 7.01, de rubriek voor algemene informatie, en niet onder Item 1.05 voor een materieel cyberincident. De onderneming heeft niet vastgesteld dat het incident materieel is of dat het een materiële impact heeft op haar financiële positie, staat in de indiening, ondertekend door chief legal officer Michele Lau.

Op de eigen incidentpagina bevestigt McKesson wel een incident met externe applicaties en ongeautoriseerde toegang tot en exfiltratie van data. Klanten kunnen last krijgen van tijdelijke haperingen in de dienstverlening, maar het bedrijf koppelt systemen niet preventief los. Welke applicaties het betreft, hoe de aanvallers binnenkwamen en wat er precies weg is, zegt McKesson niet.

Wat de aanvaller claimt

ShinyHunters zegt tegenover BleepingComputer dat vishinggesprekken met meerdere medewerkers de Okta-accounts van die medewerkers opleverden, en daarmee toegang tot Salesforce en Snowflake. De Salesforce-omgeving zou volledig zijn gecompromitteerd, inclusief supportzaken. De grootste buit kwam volgens de groep uit Snowflake: ongeveer 1 terabyte in vier dagen, tussen 21 en 25 augustus.

Het getal dat rondgaat verdient precisie. ShinyHunters corrigeerde tegenover BleepingComputer dat de 284 miljoen een ruwe telling van records is, dus regels, en geen telling van unieke personen. De groep zegt zelf niet te weten hoeveel mensen erin zitten. CyberInsider, dat het incident als eerste naar buiten bracht, noemt datacategorieën tot en met gegevens over hospicezorg en terminaal zieke patiënten. De eis bedraagt 55.236.150 dollar binnen 72 uur, en McKesson zou daar niet op in zijn gegaan. BleepingComputer heeft de claims niet onafhankelijk kunnen verifiëren.

Het domein heet bedrijfsnaam.claims

Een bron van BleepingComputer noemt mckesson[.]claims als het domein dat in de campagne is gebruikt. Dat past in een patroon dat beveiligingsbedrijf ReliaQuest kort daarvoor beschreef: ShinyHunters registreert domeinen onder de .claims-extensie met de naam of afkorting van het doelwit erin, om de helpdesk of IT-afdeling van dat bedrijf na te bootsen. Voor een organisatie is dat een controleerbaar signaal: je eigen naam onder een vreemde extensie is te monitoren.

ReliaQuest kent die opzet van dichtbij, want het bedrijf was zelf doelwit. Op 22 augustus belden aanvallers meerdere medewerkers, verwezen ze naar een namaak-inlogpagina die achter een CDN verstopt zat, en voerde een medewerker zijn gegevens in en keurde hij de MFA-melding goed. Daar strandde het: apparaten die het bedrijf niet vertrouwde konden de applicaties niet bereiken, ook niet met geldige inloggegevens. ReliaQuest houdt het op alleen-lezen zicht op een dashboard zonder klantdata, terwijl ShinyHunters met screenshots meer claimt.

Van methode naar slachtoffer

Dat McKesson nu een 8-K indient, maakt dit de eerste grote beursmelding op een route die al maanden is gedocumenteerd. Dezelfde groep liet medewerkers eerder telefonisch een frauduleuze connected app goedkeuren die zich voordeed als de Salesforce Data Loader, waarmee data in bulk geëxporteerd kon worden zonder dat er een wachtwoord gekraakt werd. En dezelfde telefonische truc dook op bij de passkey-registratie in Microsoft Entra ID, waar de aanvaller zijn eigen sleutel aan het account van het slachtoffer koppelde.

De verschuiving zit in wat single sign-on doet. Eén voordeur voor alle SaaS is precies waarom SSO bestaat, en precies waarom een geslaagd telefoontje bij McKesson naar verluidt zowel het CRM als het datawarehouse opende. Wachtwoorden en MFA staan in dit verhaal niet centraal, want die werden vrijwillig afgegeven. Wat bij ReliaQuest het verschil maakte was een controle die niet naar de gebruiker kijkt maar naar het apparaat. Voor elke organisatie die klant- of patiëntgegevens in gekoppelde SaaS-systemen bewaart, verplaatst de vraag zich daarmee van wie er mag inloggen naar waarvandaan, en naar hoeveel er achter die ene deur ligt.