Der US-Pharmahändler McKesson, einer der größten Arzneimittelverteiler Nordamerikas, hat einen Cyberangriff mit Datendiebstahl bestätigt. Betroffen sind Kunden aus den Geschäftsbereichen Onkologie und Chirurgie – die Erpressergruppe ShinyHunters droht mit der Veröffentlichung sensibler Patientendaten.
Der US-Pharmahändler McKesson hat einen Cyberangriff bestätigt, bei dem Hacker Daten aus den Geschäftsbereichen Onkologie und Chirurgie gestohlen haben. Das in Texas ansässige Unternehmen, das nach eigenen Angaben rund ein Drittel aller Rezepte in Nordamerika abwickelt, meldete den Vorfall am Freitagabend der US-Börsenaufsicht SEC und informierte seine Kunden. Die Erpressergruppe ShinyHunters hat die Verantwortung für den Angriff übernommen und droht mit der Veröffentlichung der Daten [1].
Was genau passiert ist
Nach Angaben von McKesson befindet sich das Unternehmen in einer frühen Phase der Untersuchung eines Sicherheitsvorfalls, der eine nicht näher benannte Drittanbieter-Anwendung betrifft. Die Angreifer hätten Zugriff auf die Anwendung erlangt und Daten exfiltriert, teilte das Unternehmen mit [1]. In einem Update vom Samstag präzisierte McKesson, dass die gestohlenen Daten Kunden aus den Geschäftsbereichen Oncology & Multispecialty und Medical-Surgical betreffen [2].
Der Konzern betont, dass er seine Systeme nicht proaktiv vom Netz genommen habe – ein Schritt, der bei Ransomware-Angriffen üblich ist, um die Reichweite der Angreifer zu begrenzen. Man habe jedoch die „angemessene Zusicherung" erhalten, dass sich die Hacker nicht mehr in den Systemen von McKesson befinden [1].
Welche Daten betroffen sind
Die Gruppe ShinyHunters erklärte gegenüber TechCrunch, sie habe die Cloud-Umgebung des Konzerns kompromittiert, indem sie mehrere Mitarbeiter per Phishing und Social Engineering dazu gebracht habe, den Angreifern Zugang zum Netzwerk zu gewähren [2]. Nach Angaben der Hacker wurden persönliche Daten wie Namen, Adressen und Sozialversicherungsnummern sowie geschützte Gesundheitsdaten gestohlen – darunter Diagnosen, Medikamente, Allergien und Patientennotizen [2].
Die Angreifer sprechen von Millionen von Datensätzen aus den cloudbasierten Snowflake- und Salesforce-Umgebungen des Unternehmens, können aber nicht beziffern, wie viele Personen letztlich betroffen sind [2]. Auch Daten von McKesson-Mitarbeitern, darunter Privatadressen, sollen unter den gestohlenen Informationen sein. TechCrunch verifizierte eine kleine Stichprobe der Daten anhand öffentlicher Aufzeichnungen [2].
Die von ShinyHunters kolportierte Zahl von rund 284 Millionen betroffenen Patientendatensätzen ist bislang nicht unabhängig bestätigt und sollte mit Vorsicht betrachtet werden [3]. McKesson selbst machte keine Angaben zur Zahl der betroffenen Personen.
Die Reaktion von McKesson
Der Chief Technology Officer Francisco Fraga kündigte an, betroffenen Kunden Kreditüberwachung und Identitätsschutzdienste anzubieten [1]. Das Unternehmen erklärte, es sei weiterhin in allen Geschäftsbereichen operativ tätig und gehe davon aus, dass keine unbefugte Aktivität mehr in den Systemen stattfinde [2].
Gegenüber TechCrunch wollte sich McKesson nicht zu Fragen äußern, etwa zu den Forderungen der Angreifer oder zur Zahl der betroffenen Personen [2]. Bleeping Computer berichtete unter Berufung auf die Hacker, dass eine Lösegeldforderung in Höhe von 55 Millionen US-Dollar im Raum stehe [2]. Kunden könnten nach Angaben des Unternehmens weiterhin auf die Systeme zugreifen, es könne jedoch zu intermittierenden Service-Einschränkungen kommen [1].
Die Rolle von ShinyHunters
ShinyHunters zählt zu den aktivsten Datenerpressungsgruppen der vergangenen zwei Jahre. Das FBI warnte bereits Anfang des Jahres, dass mit der Gruppe verbundene Hacker nach Datendiebstählen über kompromittierte Salesforce-Umgebungen erhebliche Lösegeldforderungen an Unternehmen stellten [1].
Die Gruppe hat in der Vergangenheit mehrfach große Konzerne attackiert, darunter Carnival Cruises, Ticketmaster, AT&T, McGraw Hill, ADT und den Spieleentwickler Rockstar [1]. Im Mai sorgte sie mit einem Angriff auf eine weit verbreitete Bildungssoftware für Aufsehen, im April erbeutete sie nach einem Angriff auf den Medizintechnikkonzern Medtronic Daten von mehr als vier Millionen Menschen [1]. Auch die Amazon-Tochter One Medical und der Dentalversicherer DentaQuest zählen zu den Opfern [2].
Bedeutung für die Gesundheitsbranche
Der Angriff auf McKesson reiht sich in eine Serie von Cyberattacken auf die Gesundheitsbranche ein. In diesem Jahr meldeten bereits die Medizintechnikhersteller Boston Scientific, Medtronic und Stryker Sicherheitsvorfälle [1]. Auch Abbott Laboratories wurde attackiert, während der Anbieter elektronischer Patientenakten CareCloud und das Gesundheitstechnologieunternehmen TriZetto jeweils Daten von mehr als drei Millionen Patienten verloren [2].
Die Branche ist für Erpresser besonders attraktiv, weil gestohlene Gesundheitsdaten hochsensibel sind und sich für Lösegeldforderungen eignen. McKesson meldete im vergangenen Quartal einen Umsatz von 106 Milliarden US-Dollar und ist damit ein systemrelevanter Akteur in der Versorgungskette des US-Gesundheitssystems [1]. Der Vorfall zeigt, dass selbst die größten und am besten ausgestatteten Unternehmen der Branche anfällig für Social-Engineering-Angriffe auf ihre Cloud-Infrastruktur bleiben – und dass die Folgen für Patienten und Kunden weit über den reinen Datenverlust hinausgehen können.