Vazamento de dados da McKesson em 2026

A investigação identificou que a atividade ocorreu entre 20 e 25 de agosto e confirmou o acesso não autorizado a aplicativos de terceiros e a exfiltração de dados desses aplicativos. Em um documento apresentado à SEC em 28 de agosto, a McKesson informou que a investigação estava em estágio inicial e que não havia concluído que o incidente era relevante ou que tinha probabilidade razoável de afetar significativamente a empresa.

Em uma atualização aos clientes de 29 de agosto, a McKesson relacionou o acesso a uma parcela dos clientes de suas unidades de negócios Oncology & Multispecialty e Medical-Surgical. O processamento de pedidos, os centros de distribuição, o envio de produtos, os sistemas e os serviços continuaram funcionando. A empresa também afirmou ter segurança razoável de que não persistia nenhuma atividade não autorizada em seus sistemas.

Um aviso substitutivo de 8 de setembro explicou que a McKesson pode manter informações pessoais e informações de saúde protegidas por meio dos prestadores de serviços de saúde que abastece. Assim, uma pessoa pode estar envolvida mesmo sem ter uma conta diretamente com a McKesson. Os possíveis dados variam de pessoa para pessoa e podem incluir dados de identificação e contato, identificadores de pacientes, datas de nascimento, informações de seguro, prontuários médicos e detalhes dos cuidados recebidos, informações de faturamento e solicitações de reembolso, dados de contas, cartões ou dados bancários, além de números do Seguro Social. Os registros podem se referir a pacientes, responsáveis financeiros ou outras pessoas. Não foi divulgado o total de pessoas afetadas nem de registros únicos.

A McKesson informou que ativou procedimentos de resposta a incidentes, contratou especialistas externos em segurança cibernética, notificou as autoridades policiais, conteve o incidente e acrescentou medidas de proteção. A análise dos dados continua em andamento. Após concluí-la, a empresa planeja coordenar as notificações individuais com seus clientes prestadores de serviços de saúde. O aviso substitutivo oferece dois anos de monitoramento de crédito e proteção contra roubo de identidade gratuitos às pessoas que acreditam que possam ter sido afetadas.