Ein Unternehmen, mit dem Sie nie zu tun hatten, kennt vielleicht Ihre Rezepte

McKesson steht auf keinem Kassenbon, aber das Unternehmen bewegt rund ein Drittel aller Medikamente in Nordamerika und liefert die Software, mit der Apotheken und Kliniken täglich arbeiten. Deshalb reicht ein Einbruch dort weit über die eigenen Kunden hinaus.

Am 28. August teilte das Unternehmen in einer Meldung an die US-Börsenaufsicht SEC mit, jemand habe unbefugten Zugang zu genutzten Drittanbieter-Anwendungen erlangt und Daten entwendet. Die Erpressergruppe ShinyHunters beansprucht 284 Millionen Datensätze für sich, abgezogen zwischen dem 21. und 25. August aus den Salesforce- und Snowflake-Umgebungen von McKesson. Datensätze sind keine Menschen, und wie viele Personen betroffen sind, ist weiterhin offen. Die Stichprobe, die die Gruppe Journalisten von CyberInsider zeigte, passte allerdings zur Behauptung: Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, Patienten-IDs, Medikamente, Allergien, Termindaten und Arztunterlagen. McKesson entdeckte den Einbruch am 25. August und holte externe Fachleute dazu. ShinyHunters sagt, man habe rund 55 Millionen Dollar gefordert und nie eine Antwort bekommen.

Wie sie hineinkamen, verdient mehr Aufmerksamkeit als jedes technische Detail. Es war ein Telefonanruf. Die Gruppe erklärt, sie habe zwei Beschäftigten per Voice-Phishing die Zugangsdaten abgeschwatzt und sei dann durch die Cloud-Dienste spaziert, die diese Konten öffneten. Keine exotische Schadsoftware, keine ungepatchte Lücke. Der älteste Trick überhaupt, nur auf sehr großer Bühne.

Hier muss niemand ein Passwort ändern, denn Ihres lag nicht im Stapel. Was folgt, ist leiser und unangenehmer: medizinische Details lassen einen Betrug klingen, als käme er wirklich aus Ihrer Apotheke. Behandeln Sie jeden Anruf und jede Nachricht, die Ihre Medikamente nennt, als unbewiesen, bis Sie selbst die auf der Packung gedruckte Nummer gewählt haben. Und wenn Sie nie überblickt haben, mit welchen Konten und Anmeldungen Ihr PC verdrahtet ist: Der Datenschutz- und Kontencheck von Tendvane bringt diese Liste an einen Ort.