McKesson تكشف عن خرق بيانات 284 مليون سجل طبي بعد هجوم ShinyHunters

مقدمة تحليلية

كشفت McKesson، عملاق توزيع الأدوية والرعاية الصحية الأمريكي، عن حادث أمن سيبراني شمل وصولاً غير مصرح به إلى تطبيقات طرف ثالث وسرقة بيانات، وذلك بتاريخ 28 أغسطس 2026، بعد أن ادعت مجموعة الابتزاز ShinyHunters أنها سرقت 284 مليون سجل بيانات لمرضى. تم اكتشاف الحادث في 25 أغسطس 2026، وأعلنت الشركة عنه في إيداع Form 8-K لدى هيئة الأوراق المالية والبورصات الأمريكية. يُعد هذا الإفصاح استجابة لتقارير CyberInsider التي سبقت إعلان McKesson الرسمي. أكدت McKesson في إشعار منفصل للعملاء أن الحادث تضمن تطبيقات طرف ثالث وعملية وصول غير مصرح به وسحب للبيانات، مشيرة إلى أن التحقيق لا يزال في مراحله المبكرة.

على الرغم من ذلك، ذكرت McKesson في إيداعها أنها لم تحدد بعد أن الحادث جوهري، أو أنه من المرجح أن يكون له أي تأثير مادي على الشركة، بما في ذلك وضعها المالي أو نتائج عملياتها.

التحليل التقني

أعلنت مجموعة ShinyHunters لموقع BleepingComputer أنها تقف وراء الهجوم، مدعيةً أنها تمكنت من الوصول بعد شن هجمات هندسة اجتماعية من نوع التصيد الصوتي (vishing) ضد موظفين متعددين في McKesson. تضمنت هذه الهجمات استهداف حسابات تسجيل الدخول الموحد (Okta single sign-on) للموظفين، مما أدى إلى اختراقها. استغلت المجموعة الحسابات المخترقة للوصول إلى بيئات الشركة في Salesforce وSnowflake. بحسب ShinyHunters، تم استخدام نطاق mckesson[.]claims كجزء من الحملة، وهو ما يتطابق مع نمط حملات ShinyHunters التي وثقها فريق ReliaQuest للبحوث الأمنية سابقاً، حيث كانت المجموعة تسجل نطاقات من نوع.claims تتضمن أسماء الشركات المستهدفة أو اختصاراتها لانتحال صفة مكاتب المساعدة وفرق تكنولوجيا المعلومات.

زعمت المجموعة أنها اخترقت بيئة Salesforce بالكامل، بما في ذلك حالات الدعم، وسرقت مجموعة أكبر من البيانات من Snowflake، تقدر بحوالي 284 مليون سجل بيانات متعلقة بالمرضى. هذه الأرقام تمثل عدد السجلات الخام وليس عدد الأفراد الفريدين المتأثرين. تم سحب حوالي 1 تيرابايت من البيانات على مدى أربعة أيام، بين 21 أغسطس و 25 أغسطس. تضمنت البيانات المسروقة المزعومة:

• الأسماء والعناوين وتواريخ الميلاد وأرقام الضمان الاجتماعي
• معرفات المرضى وأرقام الهواتف وعناوين البريد الإلكتروني
• أرقام Medicaid وأرقام السجلات الطبية ومعلومات الأدوية والحساسية
• معلومات الأمراض والإعاقات ومواعيد المراجعة ومعلومات الأطباء
• معلومات المرضى المتوفين والمصابين بأمراض مميتة، والوصفات الطبية وشحنات الأدوية
• الفواتير ومعلومات الموظفين وسجلات Salesforce والاتصالات الداخلية
• معلومات مقدمي الرعاية الصحية والعيادات التي تستخدم خدمات McKesson

بعد استكمال سرقة البيانات في 25 أغسطس، زعمت ShinyHunters أنها اتصلت بـ McKesson وطالبت بفدية قدرها 55,236,150 دولاراً أمريكياً، مانحةً الشركة 72 ساعة للاستجابة. وفقاً لـ ShinyHunters، لم تستجب McKesson للمطالبة ولم تتفاوض بشأنها.

السياق وتأثير السوق

يأتي هذا الهجوم على McKesson في خضم موجة مستمرة من هجمات سرقة البيانات التي تستهدف مؤسسات الرعاية الصحية والتكنولوجيا الصحية، وتُنسب إلى ShinyHunters. حذرت Health-ISAC مؤخراً مؤسسات الرعاية الصحية من تصاعد هجمات ShinyHunters التي تنطوي على الهندسة الاجتماعية لاختراق حسابات الشركات والحصول على وصول إلى منصات السحابة وSaaS. من الشركات الأخرى في قطاع الرعاية الصحية التي استهدفتها ShinyHunters في هجمات سابقة لسرقة البيانات: Medtronic، وDentaQuest (التي تعرضت لخرق كشف عن معلومات 26 مليون حساب)، وiRhythm، وOneMedical، وAdaptHealth. هذه الحوادث المتكررة تسلط الضوء على تحول استراتيجيات الهجوم من اختراق الشبكات التقليدية إلى استهداف نقاط ضعف الهوية والوصول السحابي، مما يجعل الدفاعات المحيطية التقليدية غير كافية.

البيانات المستقاة من تقرير Blue Report لعام 2026، والذي قاس الدفاعات عبر 338 مليون عملية محاكاة في بيئات إنتاج العملاء، تشير إلى أنه بمجرد أن يحصل المهاجمون على بيانات اعتماد صالحة، يتم حظر 37% فقط من أفعالهم. هذا الواقع التقني يغير معيار الأمن من منع الوصول الأولي إلى القدرة على اكتشاف واحتواء الأنشطة بعد الاختراق الأولي. إن اعتماد McKesson على تطبيقات الطرف الثالث مثل Salesforce وSnowflake، إلى جانب أنظمة تسجيل الدخول الموحد Okta، يعرضها لنفس نقاط الضعف التي استغلها المهاجمون في شركات أخرى، مما يجعلها ليست حالة منعزلة بل جزءاً من نمط أوسع يفتقر فيه قطاع الرعاية الصحية إلى دفاعات كافية بعد اختراق بيانات الاعتماد.

رؤية Glitch4Techs

تقييم McKesson بأن الحادث