CyberSecurityAction

大量情報流出

McKesson患者データ2億8400万件漏洩か、ShinyHuntersがヴィッシング攻撃でOkta/Snowflakeを侵害

米製薬大手McKessonがサイバー侵害をSECに開示。ShinyHuntersがヴィッシング攻撃で従業員のOkta SSOを侵害し、Salesforce・Snowflakeから約2億8400万件の患者関連データレコードを窃取したと主張。身代金5,523万ドルを要求した。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
McKesson患者データ2億8400万件漏洩か、ShinyHuntersがヴィッシング攻撃でOkta/Snowflakeを侵害

THREAT GAUGE算出基準

IMPACT（影響範囲）9.5
URGENCY（対応緊急度）7.0
EXPLOIT（悪用の容易さ）6.5

“患者2億8400万件・ヴィッシング+Okta侵害・医療サプライチェーンへの広範な影響”

01 · Overview

ニュースの概要

米国の医療・製薬流通大手McKessonは2026年8月25日にサイバーセキュリティインシデントを検知し、米国証券取引委員会（SEC）へのForm 8-K開示を通じて第三者アプリケーションへの不正アクセスとデータ窃取を公表した。恐喝グループShinyHuntersはBleepingComputerに対し、ヴィッシング（音声フィッシング）攻撃で複数の従業員のOkta SSOアカウントを侵害し、SalesforceおよびSnowflakeから約1TBのデータを4日間で持ち出したと主張している。

ShinyHuntersによれば、攻撃者は「mckesson[.]claims」ドメインを用いてMcKesson社のITヘルプデスクを装うヴィッシング攻撃を実施し、Okta SSOの資格情報を詐取した。取得した正規の認証情報でSalesforceおよびSnowflake環境に不正アクセスし、Snowflakeから約2億8400万件の患者関連データレコードを窃取したとしている。この数値はレコード（行）数であり、ユニークな個人の数ではないとShinyHuntersは補足している。

窃取されたとされる情報には、氏名・住所・生年月日・社会保障番号（SSN）・患者ID・電話番号・メールアドレス・メディケイド番号・医療記録番号・服薬・アレルギー情報・病状・障害情報・処方箋・医師情報などが含まれるとされる。McKessonは5,523万6,150ドルの身代金を要求され、72時間以内の回答を迫られたが応じなかった。

今回の攻撃はShinyHuntersが医療・ヘルステック企業を標的とする一連のキャンペーンの一環とみられる。Health-ISACはすでに医療機関向けにShinyHuntersによるソーシャルエンジニアリング攻撃の増加を警告しており、Medtronic・DentaQuest・iRhythmなどが同グループの被害を受けたと報告されている。McKessonは調査が初期段階であり、本インシデントの重要性の判断はまだできないとしている。

被害企業
McKesson（米製薬流通大手）
漏洩レコード数
約2億8400万件（患者関連）
攻撃手法
ヴィッシング→Okta SSO侵害
侵害システム
Salesforce・Snowflake
身代金要求額
5,523万ドル
CVE番号
なし（ソーシャルエンジニアリング）

BleepingComputerおよびMcKesson公式声明、SECフォーム8-Kに基づく。ShinyHuntersの主張する漏洩件数・内容はMcKessonが独自確認していないため、確定情報ではない。

02 · Analysis

詳細な原因解説

本インシデントの主要な侵入経路はヴィッシング（音声フィッシング）によるソーシャルエンジニアリングであり、技術的な脆弱性の悪用ではない。攻撃者はMcKessonの社名を含む「.claims」TLDドメイン（mckesson[.]claims）を取得し、ITヘルプデスクや社内IT部門を装って従業員に電話をかけ、Okta SSOの認証情報（ユーザー名・パスワード・MFAコード等）を詐取した。

正規の資格情報を入手した攻撃者は、Okta SSOが統合する企業アプリケーション群への認証を通過した。Okta SSO配下にSalesforceとSnowflakeが含まれており、攻撃者はこれらのクラウドサービスに正規ユーザーとして侵入した。SaaSおよびクラウドデータウェアハウス（Snowflake）は組織の「データの宝庫」であり、一度正規認証を通過すると大量のデータへの高速アクセスが可能になる構造がある。

4日間で1TBものデータをSnowflakeから抜き取れた背景には、クラウドデータウェアハウスの特性として大量データへの高速アクセスが可能であること、加えて異常なデータ転送量の検知・アラートが機能しなかったか対応が遅れたことが考えられる。ReliaQuestの調査では、ShinyHuntersが同様の「[企業名].claims」ドメインを用いた広範なキャンペーンを展開していたことが確認されている。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

ShinyHuntersの攻撃手法を解剖する

Q. 従来のヴィッシング攻撃と比べ、.claimsドメインを用いた手法の革新点は何か？

従来のヴィッシング攻撃は「発信者番号偽装」に依存していたが、ShinyHuntersは.claimsという新TLDで「ターゲット企業名.claims」ドメインを取得する手法を組み合わせた。これにより、電話だけでなくメールやSlack通知など複数チャネルで企業ヘルプデスクを装うことが可能になった。さらに、Okta SSOという中央認証基盤を狙うことで、1つの認証情報侵害から複数のSaaSへの横断的アクセスを実現している。クラウド集約型のID管理が「シングルポイントオブフェイリャー」になるリスクを示した典型例だ。

クラウドSaaS集約が生むリスク構造

Q. Okta等のSSO基盤に複数SaaSを集約する構成が、なぜ単一の侵害を壊滅的な被害に拡大させるのか？

組織がOktaを中心にSalesforce・Snowflake・Workday等のSaaSを連携させる構成は、ITコスト削減とユーザビリティ向上という正のフィードバックをもたらすが、同時に「認証の中央集権化」という脆弱性も生じる。Okta SSOの資格情報1件を侵害すれば、連携する全SaaSへのアクセスが可能になる。ソーシャルエンジニアリングはこの中央集権的な弱点を直接突く手法であり、技術的な脆弱性がなくても組織全体を侵害できる。今後はSSOに加えて、個別SaaSレベルの異常検知とアクセス制御の多層化が必須となる。

ヴィッシング＋SSO侵害への現実的な防御策

最も即効性のある対策は「フィッシング耐性MFA」の導入だ。SMS・音声OTPはヴィッシング攻撃で詐取されるが、FIDO2/WebAuthn準拠のパスキーやYubiKeyは電話越しに詐取できない仕組みになっている。特にIT管理者・経営幹部・クラウド管理者への優先適用が重要である。

次に、Snowflakeなどクラウドデータウェアハウスのアクセス制御強化を優先すべきだ。ネットワークポリシー（IPホワイトリスト）の設定、MFAの強制、そして異常なデータエクスポートに対するアラートの設定は、被害を1TBに至る前に止めるための最後の防衛線となる。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のCISO補佐です。McKesson社と同様のヴィッシング+SSO侵害シナリオを想定したリスク評価を行ってください。自社で利用しているSSO/IDプロバイダー（[IDP名]）と接続されているSaaSサービスを前提に、1）ヴィッシング攻撃の最も高いリスクを持つ部門・役職の特定、2）現在のMFA方式のフィッシング耐性評価、3）Snowflake等クラウドDWHの異常転送検知の有無確認、の3点について評価し、優先アクションを提案してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の名称

自組織の業種

利用中のIDプロバイダー名

キーワード

  • McKesson
  • ShinyHunters
  • 患者データ漏洩
  • ヴィッシング攻撃
  • Snowflake

SOURCES · 参考情報源