A McKesson, uma das maiores distribuidoras de medicamentos e serviços de saúde dos Estados Unidos, informou ao mercado que sofreu um incidente de segurança. Pela descrição da própria empresa, houve acesso não autorizado a aplicações de terceiros e roubo de dados. A descoberta é de 25 de agosto de 2026, o comunicado foi feito em documento enviado à SEC, o órgão que regula o mercado de capitais americano, e a apuração ainda está no começo.
Você pode achar que uma gigante americana do setor farmacêutico não tem nada em comum com a sua clínica, com o seu escritório de contabilidade ou com a sua fábrica. Tem, e o ponto de contato é bem prosaico. O centro desse episódio não é um equipamento raro nem um vírus de laboratório: são pessoas com acesso a sistemas contratados de terceiros. Isso existe na sua empresa hoje, quase sempre em quantidade maior do que o dono imagina.
O que foi confirmado e o que ainda é alegação
A McKesson diz que a investigação está em estágio inicial e que, até a data do arquivamento, não classificou o incidente como material nem identificou impacto material sobre a companhia. Em aviso separado aos clientes, confirmou que o caso envolveu aplicações de terceiros, com acesso indevido e retirada de informações, e contou que acionou seus protocolos de resposta, abriu investigação e chamou especialistas externos.
Há duas informações que valem pelo tom. A empresa avisou que clientes podem sentir lentidão intermitente possivelmente ligada ao ataque e, ao mesmo tempo, afirmou que não estava desligando sistemas por precaução. E, até agora, não revelou quais aplicações de terceiros foram atingidas, por onde os invasores entraram nem o que exatamente foi levado.
Do outro lado está a versão do grupo de extorsão ShinyHunters, que assumiu a autoria ao BleepingComputer. Eles dizem ter levado cerca de 1 TB em quatro dias, entre 21 e 25 de agosto, e falam em aproximadamente 284 milhões de registros. Aqui entra uma precisão que quase se perdeu no caminho: o próprio grupo corrigiu a interpretação e explicou que se trata de linhas de banco de dados, não de 284 milhões de pessoas diferentes. Eles admitem não ter analisado o material inteiro. Também afirmam ter pedido um resgate de 55.236.150 dólares, com prazo de 72 horas, sem resposta da empresa. Nada disso foi verificado de forma independente.
A porta não foi arrombada, foi aberta por dentro
Segundo o ShinyHunters, o ponto de partida foram ligações telefônicas para vários funcionários, o que o meio técnico chama de vishing, o golpe por voz. Uma outra apuração do veículo aponta o uso do domínio mckesson[.]claims. A empresa de inteligência ReliaQuest já havia descrito uma campanha do grupo registrando endereços no formato nome-da-empresa ponto claims, justamente para imitar help desk e equipes de TI.
O grupo afirma que essas ligações renderam contas de login único de vários funcionários e que, com elas, chegou aos ambientes de CRM e de banco de dados analítico da companhia. Traduzindo para a sua realidade: a partir do momento em que alguém entra com usuário, senha e código válidos, o sistema não vê um invasor. Vê um colega trabalhando. É por isso que investir só em muro alto resolve metade do problema.
Na sua empresa isso tem uma versão bem concreta. Alguém liga para a recepção dizendo que é do suporte, pede que a senha do sistema seja trocada agora porque a auditoria travou, e pede o código que chegou no celular. Sem uma regra combinada antes, a pessoa do outro lado da linha vai querer ajudar.
Seus dados moram na casa dos outros
Faça o exercício: liste onde estão as informações da sua empresa. Sistema de gestão, prontuário eletrônico, emissor de nota, folha de pagamento, CRM, e-mail, pasta compartilhada, ferramenta de atendimento. Boa parte disso roda em serviços de terceiros, e essa é a arquitetura normal hoje, com ganho real de custo e de disponibilidade. O erro não é contratar. O erro é achar que contratar transfere a responsabilidade.
O contrato fica com o fornecedor; o prejuízo fica com você. Por isso vale separar o que é crítico e decidir onde cada coisa vive. Em muitos projetos, parte do ambiente vai para uma nuvem privada em data center Tier III, com controle de quem entra e de onde entra, enquanto o restante permanece em serviços públicos com regras mais rígidas de acesso.
O que dá para fazer nas próximas semanas
Nada aqui depende de orçamento de multinacional. Depende de decisão do dono e de alguém responsável por executar.
- Inventário de acessos. Liste cada serviço contratado, quem entra nele e com qual nível de permissão. Contas de ex-funcionários e de estagiários que ficaram para trás são o achado mais comum.
- Segundo fator em tudo que for administrativo. E menos gente com poder total: quem precisa apagar e exportar base inteira deve caber nos dedos de uma mão.
- Uma regra escrita para pedidos por telefone. Ninguém troca senha, aprova código ou libera acesso a partir de uma ligação. A confirmação sempre volta por outro canal, com número que já está na agenda da empresa.
- Olho no que sai. Download gigante fora do horário, login de país estranho, exportação de base completa: isso precisa acender uma luz para alguém. É o papel do monitoramento com NOC 24 horas.
- Borda de rede sob controle. Segmentar o que não precisa conversar entre si e controlar a saída de dados é trabalho de firewall e segurança de perímetro.
- Cópia que já foi testada. Backup que ninguém restaurou é promessa. Ter backup com restauração testada em ambiente separado muda o tamanho do estrago.
- Um plano de uma página. Quem avisa quem, quem fala com cliente, quem procura o jurídico, quem desliga o quê. Escrito antes, não no dia.
A extorsão mudou de forma
Por anos, o crime digital travava o sistema e cobrava para destravar. O roubo de dados que aparece nesse caso segue outro roteiro: copiar informação sensível e cobrar para não publicar. Muda o que está em jogo. Voltar a operar continua sendo assunto de cópia de segurança, mas dado que já saiu não volta para dentro com restauração nenhuma. O que reduz o dano é o trabalho feito antes, com menos gente de acesso amplo, menos base exposta e alarme quando alguém baixa o que não deveria.
Vale registrar o contexto que a reportagem traz. O Health-ISAC, centro de troca de informações do setor de saúde, alertou sobre o aumento de ataques desse grupo usando engenharia social para tomar contas corporativas e alcançar plataformas de nuvem. Outras companhias de tecnologia em saúde apareceram como alvos recentes, entre elas Medtronic, DentaQuest, iRhythm, OneMedical e AdaptHealth. É um método repetido, e método repetido chega a empresas menores.
A pergunta útil para quem toca um negócio não é se alguém vai tentar. É quanto tempo levaria para você perceber, e o que estaria acessível quando percebesse.
Fonte: BleepingComputer — McKesson discloses breach after ShinyHunters claims patient data theft, agosto de 2026.
A Ragnatela IOT Solutions trabalha nessa camada: projeto de rede e firewall, nuvem privada em data center Tier III, backup com restauração testada e monitoramento com NOC 24 horas. Se quiser enxergar como está o acesso aos seus sistemas hoje, converse com a nossa equipe e vamos olhar o seu ambiente juntos.
Perguntas frequentes
A McKesson confirmou que 284 milhões de pacientes foram afetados?
Não. A empresa não divulgou o que foi levado. O número de aproximadamente 284 milhões partiu do grupo de extorsão e se refere a registros, ou seja, linhas de dados. O próprio grupo esclareceu ao BleepingComputer que não sabe quantas pessoas distintas estão nesse material.
Minha empresa é pequena. Esse tipo de ataque chega até aqui?
O método não exige alvo grande. Uma ligação convincente e uma conta com acesso amplo já resolvem a vida de quem tenta. Empresas menores costumam ter menos gente para conferir pedidos feitos por telefone, e é exatamente aí que a conversa vira porta de entrada.
Backup resolve um caso de roubo de dados?
Backup devolve a operação quando algo é apagado, corrompido ou travado, e por isso continua indispensável. Ele não faz o dado voltar depois de copiado. Contra roubo, o que ajuda é limitar acesso, vigiar exportações fora do padrão e ter plano de resposta escrito.
Por onde começar se hoje não existe nada estruturado?
Pelo inventário: quais serviços a empresa usa, quem entra em cada um e com qual permissão. A partir dessa lista dá para ligar o segundo fator, encerrar contas antigas e combinar a regra de verificação para qualquer pedido de senha ou de código feito por telefone.
