A McKesson, uma das maiores empresas de distribuição farmacêutica e tecnologia para saúde dos Estados Unidos, confirmou um grave incidente de cibersegurança envolvendo o roubo de dados armazenados em aplicações de terceiros na nuvem.
O ataque foi identificado em 25 de agosto de 2026. Após iniciar uma investigação com especialistas externos em cibersegurança, a companhia confirmou que houve acesso não autorizado e exfiltração de informações associadas a parte dos clientes de suas divisões Oncology & Multispecialty e Medical-Surgical.
A informação apresentada na imagem está, portanto, correta em essência, mas exige uma distinção fundamental: a McKesson confirmou que dados foram roubados, porém ainda não confirmou publicamente que “milhões de pacientes” foram afetados.
Essa escala é uma alegação dos hackers.
ShinyHunters assume responsabilidade
O grupo de extorsão ShinyHunters reivindicou a autoria do ataque.
Segundo os criminosos, funcionários da McKesson teriam sido manipulados por meio de phishing e engenharia social, permitindo que os invasores conseguissem acesso ao ambiente da companhia.
Esse detalhe ainda deve ser tratado como uma descrição apresentada pelos próprios atacantes, já que a McKesson não publicou uma análise técnica completa sobre o vetor inicial da invasão.
O episódio chama atenção porque não depende necessariamente da exploração de uma vulnerabilidade sofisticada.
Se a versão dos invasores estiver correta, pessoas foram utilizadas como porta de entrada para sistemas corporativos.
Salesforce e Snowflake estariam entre os ambientes atingidos
Os hackers afirmam ter acessado dados presentes em ambientes da Salesforce e Snowflake utilizados pela McKesson.
Isso não significa que Salesforce ou Snowflake tenham sido diretamente invadidas.
A diferença é importante.
Em ataques desse tipo, criminosos podem comprometer credenciais ou identidades pertencentes à empresa cliente e, utilizando acessos legítimos roubados, entrar nos serviços de nuvem onde os dados estão armazenados.
Ou seja: uma plataforma pode continuar tecnicamente segura enquanto uma conta autorizada de determinado cliente é comprometida.
Hackers falam em milhões de registros
O ShinyHunters afirma ter retirado milhões de linhas contendo informações de pacientes.
Entretanto, nem mesmo os criminosos teriam determinado com precisão quantas pessoas únicas aparecem na base.
Uma única pessoa pode possuir diversos registros associados a consultas, medicamentos, diagnósticos ou procedimentos.
Por isso, milhões de linhas de uma base de dados não significam automaticamente milhões de vítimas individuais.
A McKesson continua investigando o incidente e ainda não apresentou um total oficial.
Amostras foram verificadas
O caso ganhou maior credibilidade porque uma pequena amostra das informações fornecidas pelos hackers foi confrontada com registros públicos e apresentou correspondência.
Isso oferece evidência de que os criminosos possuem ao menos dados relacionados à companhia.
Ainda assim, verificar uma pequena amostra não permite confirmar todo o volume anunciado pelos invasores.
Essa diferença é essencial em incidentes de extorsão, porque grupos criminosos frequentemente utilizam números elevados para aumentar a pressão sobre as vítimas.
Dados podem incluir informações médicas extremamente sensíveis
Segundo as alegações dos hackers, o material roubado inclui nomes, endereços residenciais, números de Seguro Social americano e informações de saúde protegidas.
Entre os dados médicos estariam diagnósticos, medicamentos, alergias e anotações relacionadas aos pacientes.
Informações de funcionários da própria McKesson, incluindo endereços residenciais, também teriam sido obtidas.
A companhia ainda não confirmou publicamente todos esses campos individualmente.
Portanto, é importante separar duas informações: a extração de dados está confirmada pela McKesson; o conteúdo detalhado divulgado até agora vem principalmente das alegações dos atacantes e das amostras analisadas.
Hackers teriam exigido US$ 55 milhões
O ShinyHunters também teria exigido aproximadamente US$ 55 milhões para não divulgar publicamente os arquivos roubados.
O valor transforma o incidente em mais um exemplo do crescimento da chamada extorsão baseada em dados.
Nesse modelo, os criminosos nem sempre precisam criptografar computadores e interromper toda a operação.
Basta roubar informações suficientemente sensíveis.
Depois, ameaçam publicá-las caso a organização não pague.
Para uma empresa que trabalha com informações médicas, o potencial de pressão é particularmente elevado.
Operação da McKesson continua funcionando
Apesar do incidente, a McKesson afirmou que suas linhas de negócio continuam operacionais.
Os centros de distribuição permanecem funcionando, pedidos continuam sendo aceitos e produtos continuam sendo enviados pela rede da companhia.
Inicialmente, clientes poderiam perceber degradações intermitentes em alguns serviços relacionados ao incidente.
Posteriormente, a empresa informou possuir garantia razoável de que não existe mais atividade não autorizada em andamento em seus sistemas.
A investigação, entretanto, permanece aberta.
Empresa ainda avalia impacto financeiro
Em documento apresentado à SEC, reguladora do mercado de capitais americano, a McKesson informou que ainda não havia determinado que o incidente fosse material para seus negócios.
Até aquele momento, a companhia também não considerava que o episódio tivesse provocado — ou fosse razoavelmente provável que provocasse — impacto material sobre sua situação financeira ou resultados operacionais.
Essa avaliação poderá mudar conforme a investigação determine o número de pessoas afetadas, a natureza das informações comprometidas e eventuais consequências regulatórias ou judiciais.
McKesson ocupa posição crítica na saúde americana
O tamanho da empresa aumenta a relevância do incidente.
A McKesson participa de uma parcela significativa da cadeia de distribuição de medicamentos dos Estados Unidos e fornece produtos, tecnologia e serviços para hospitais, clínicas, farmácias e outras organizações.
A companhia trabalha com dezenas de milhares de clientes corporativos e institucionais.
Isso significa que um comprometimento de determinados ambientes pode afetar informações pertencentes não apenas à própria McKesson, mas também a pacientes atendidos por organizações que utilizam seus serviços.
É justamente esse efeito de concentração que torna grandes fornecedores de tecnologia e serviços de saúde alvos particularmente atraentes.
Terceiros viraram parte da superfície de ataque
O episódio também reforça uma mudança importante na maneira como empresas precisam pensar sobre cibersegurança.
Durante décadas, proteger a organização significava principalmente proteger sua própria rede.
Hoje, dados corporativos estão distribuídos entre serviços SaaS, provedores de nuvem, plataformas de CRM, sistemas de análise e dezenas ou centenas de aplicações externas.
A superfície de ataque acompanha essa expansão.
Uma empresa pode possuir excelente proteção em seus servidores internos e continuar vulnerável caso criminosos consigam comprometer uma identidade com acesso a uma plataforma externa.
Identidade está virando o novo perímetro de segurança
Ataques baseados em engenharia social demonstram por que credenciais e identidades digitais se tornaram uma das principais fronteiras da segurança corporativa.
Quando um criminoso consegue convencer um funcionário a fornecer informações de autenticação ou aprovar uma solicitação fraudulenta, ele pode entrar no ambiente utilizando uma identidade aparentemente legítima.
Para sistemas tradicionais de segurança, a atividade pode inicialmente parecer normal.
A conta existe.
A senha está correta.
O usuário possui permissão.
O problema é que quem está utilizando aquela identidade não é o funcionário verdadeiro.
Por isso, organizações estão ampliando controles como autenticação resistente a phishing, chaves físicas, políticas de acesso condicional, análise comportamental e princípios de Zero Trust.
Dados médicos possuem valor especial para criminosos
Informações de saúde estão entre os dados mais sensíveis que uma pessoa pode ter expostos.
Uma senha pode ser alterada.
Um cartão pode ser cancelado.
Mas histórico médico, diagnósticos e determinados dados pessoais não podem simplesmente ser substituídos.
Além disso, quando informações médicas são combinadas com nome, endereço e números de identificação, criminosos podem construir golpes altamente personalizados.
O risco inclui fraude de identidade, phishing, falsos contatos de clínicas, cobranças fraudulentas e outras formas de engenharia social.
McKesson oferecerá proteção às pessoas confirmadamente afetadas
A empresa afirmou que pretende disponibilizar monitoramento de crédito e serviços de proteção contra roubo de identidade sem custo para parceiros, clientes e pacientes cujas informações forem confirmadas como comprometidas.
Também deverá estabelecer um canal dedicado para atender os afetados.
O alcance dessas medidas dependerá justamente da etapa que ainda está em andamento: determinar exatamente quais dados foram retirados e a quem eles pertencem.
Saúde enfrenta sequência de grandes ataques em 2026
O incidente acontece em um ano marcado por ataques contra diferentes organizações do setor.
Empresas de tecnologia médica, fornecedores de prontuários eletrônicos, fabricantes de dispositivos e prestadores de serviços de saúde foram atingidos por invasões relevantes.
A CareCloud, por exemplo, confirmou recentemente o roubo de informações de aproximadamente 3,75 milhões de pessoas.
Outros incidentes atingiram organizações como TriZetto, DentaQuest e NYC Health + Hospitals.
O cenário mostra que o setor de saúde permanece entre os ambientes mais valiosos para criminosos digitais.
O número final poderá mudar significativamente a dimensão do caso
A grande pergunta sobre a McKesson continua sem resposta:
quantas pessoas realmente tiveram seus dados roubados?
O ShinyHunters fala em milhões de registros e outras estimativas atribuídas ao grupo chegaram a números muito superiores.
Nenhum desses totais deve ser apresentado como número confirmado de vítimas neste momento.
A McKesson ainda está determinando o alcance da invasão.
Até que essa análise seja concluída, a maneira mais precisa de descrever o episódio é clara:
houve uma invasão, houve exfiltração de dados e existem evidências de informações sensíveis nas mãos dos criminosos — mas o número exato de pacientes afetados ainda não foi confirmado.
Esse cuidado é particularmente importante porque, em cibersegurança, números divulgados pelos próprios atacantes também fazem parte da estratégia de extorsão.
Independentemente do total final, o incidente deixa outro alerta para grandes organizações.
A nuvem ampliou enormemente a capacidade das empresas de armazenar e processar informações.
Agora, proteger quem pode acessar esses dados tornou-se tão importante quanto proteger os servidores onde eles estão armazenados.
