Una empresa con la que nunca ha tratado puede tener el historial de sus recetas
McKesson no es un nombre que aparezca en su recibo, pero la empresa mueve alrededor de un tercio de los medicamentos de Norteamérica y suministra el software que farmacias y clínicas usan a diario. Por eso una brecha allí llega mucho más lejos que sus propios clientes.
La compañía reveló el 28 de agosto, en una comunicación a la SEC, que alguien había obtenido acceso no autorizado a aplicaciones de terceros que utiliza y se había llevado datos. El grupo de extorsión ShinyHunters reclama 284 millones de registros, sacados entre el 21 y el 25 de agosto de los entornos Salesforce y Snowflake de McKesson. Los registros no son personas, y cuántos individuos están afectados sigue sin saberse. La muestra que el grupo enseñó a los periodistas de CyberInsider sí encajaba con lo que afirma: nombres, direcciones, fechas de nacimiento, números de la seguridad social, identificadores de paciente, medicamentos, alergias, detalles de citas y fichas de médicos. McKesson descubrió la intrusión el 25 de agosto y llamó a especialistas externos. ShinyHunters asegura que pidió unos 55 millones de dólares y nunca recibió respuesta.
Cómo entraron merece más atención que cualquier detalle técnico. Fue una llamada de teléfono. El grupo dice que sacó por phishing de voz las credenciales de dos empleados y luego se paseó por los servicios en la nube que esas cuentas abrían. Nada de malware exótico ni de fallos sin parchear. El truco más viejo que existe, sobre un escenario enorme.
Aquí no hay ninguna contraseña que cambiar, porque la suya no estaba en el montón. Lo que viene después es más silencioso y más incómodo: un detalle médico hace que una estafa suene como si viniera de verdad de su farmacia. Trate cualquier llamada o mensaje que cite sus medicamentos como no verificado hasta que marque usted mismo el número impreso en la caja. Y si nunca ha revisado con qué cuentas y accesos está conectado su PC, la comprobación de Privacidad y cuentas de Tendvane reúne esa lista en un solo sitio.