Утечка данных McKesson в 2026 году

Расследование установило, что активность происходила с 20 по 25 августа, и подтвердило несанкционированный доступ к сторонним приложениям и вывод данных из них. В документе, поданном в SEC 28 августа, McKesson сообщила, что расследование находится на ранней стадии и компания ещё не установила, является ли инцидент существенным или может ли он с обоснованной вероятностью оказать существенное влияние на компанию.

В сообщении для клиентов от 29 августа McKesson указала, что доступ затронул часть клиентов её подразделений Oncology & Multispecialty и Medical-Surgical. Приём заказов, распределительные центры, отгрузка продукции, системы и сервисы продолжали работать. Компания также заявила, что у неё есть достаточные основания полагать, что несанкционированная активность в её системах больше не продолжается.

В альтернативном уведомлении от 8 сентября пояснялось, что McKesson может хранить персональные данные и защищённую медицинскую информацию в рамках работы с медицинскими организациями, которым она осуществляет поставки. Поэтому инцидент мог затронуть и людей, у которых нет собственной учётной записи McKesson. Состав потенциально затронутых данных различается в зависимости от человека и может включать идентификационные и контактные сведения, идентификаторы пациентов, даты рождения, страховую информацию, медицинские записи и сведения об оказанной помощи, информацию о выставленных счетах и заявлениях на страховое возмещение, данные учётных записей, карт или банковские данные, а также номера социального страхования. Записи могут относиться к пациентам, гарантам оплаты или другим людям. Общее число затронутых лиц или уникальных записей не раскрывалось.

McKesson сообщила, что задействовала процедуры реагирования на инциденты, привлекла внешних экспертов по кибербезопасности, уведомила правоохранительные органы, локализовала инцидент и ввела дополнительные меры защиты. Проверка данных продолжается. После её завершения компания планирует совместно с медицинскими организациями, своими клиентами, организовать индивидуальное уведомление затронутых лиц. Альтернативное уведомление предлагает людям, которые считают, что инцидент мог их затронуть, два года бесплатного мониторинга кредитной истории и защиты от кражи персональных данных.