Kein Zero-Day. Kein raffinierter Exploit. Kein wochenlanges Vorarbeiten in der Firewall. Der Einstieg bei einem der größten Pharma-Großhändler der Welt gelang laut den Angreifern mit dem simpelsten Werkzeug überhaupt: zwei Telefonanrufen.
WAS PASSIERT IST
McKesson entdeckte am 25. August einen Sicherheitsvorfall in den eigenen Informationssystemen. Wenig später meldete sich die Erpressergruppe ShinyHunters und beanspruchte den Angriff für sich — ein Name, der in den vergangenen Monaten immer wieder auftauchte, wenn es um abgegriffene Cloud-Datenbanken ging.
DIE ZAHL: 284 MILLIONEN — MIT EINER WICHTIGEN EINSCHRÄNKUNG
Die Gruppe spricht von rund 284 Millionen Datensätzen. Und hier lohnt sich das genaue Hinsehen, denn ShinyHunters selbst hat klargestellt: Es handelt sich um eine Rohzählung von Zeilen, nicht um die Zahl einzelner Menschen. Die Angreifer geben an, die Daten noch gar nicht vollständig ausgewertet zu haben und nicht zu wissen, wie viele Personen tatsächlich dahinterstecken.
Diese Unterscheidung ist wichtig — sie macht den Vorfall nicht kleiner, aber sie ordnet die Schlagzeile ein. Ein einzelner Patient kann in einer solchen Datenbank hunderte Zeilen erzeugen.
Was in den Daten stecken soll
Die von den Angreifern genannte Liste ist lang und für Betroffene bitter: Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, Patienten-IDs, Telefonnummern, E-Mail-Adressen, Medicaid-Nummern, Krankenaktennummern, Angaben zu Medikamenten und Allergien, Erkrankungen, Behinderungen, Termindaten und Arztinformationen. Auch E-Mail-Kommunikation zwischen Ärzten und Patienten soll dabei sein — nach Angaben der Angreifer allerdings nur der Textinhalt, keine Anhänge.
DER EINSTIEG: EINE STIMME AM TELEFON
Laut den Tätern verschafften sie sich Zugang, indem sie zwei Mitarbeiter per Telefon-Phishing — im Fachjargon Vishing — hereinlegten. Von dort aus zogen sie die Daten aus den Salesforce- und Snowflake-Instanzen des Unternehmens ab.
Das ist exakt das Muster, das den Angriffswellen der vergangenen Monate zugrunde liegt: Nicht die Software wird geknackt, sondern der Mensch, der die Zugangsdaten hat. Cloud-Datenplattformen sind dabei ein besonders lohnendes Ziel, weil ein einziges gültiges Konto oft Zugriff auf gewaltige Datenmengen bietet — ganz ohne Umweg über Netzwerkgrenzen.
DIE FORDERUNG
ShinyHunters verlangt nach eigenen Angaben 55,2 Millionen US-Dollar, um die Daten nicht zu veröffentlichen. McKesson habe auf die Forderungen nicht reagiert.
WAS DU DARAUS MITNEHMEN SOLLTEST
Telefon-Phishing ist kein Randthema mehr. Wer glaubt, sein Team fällt darauf nicht herein, unterschätzt, wie gut diese Anrufe inzwischen vorbereitet sind — mit echten Namen, echten Projektbezeichnungen und einem plausiblen Anlass.
Führe eine Rückrufregel ein. Die einfachste wirksame Maßnahme: Niemand gibt am Telefon einen Code, ein Passwort oder eine Freigabe heraus. Stattdessen wird über eine im Verzeichnis hinterlegte Nummer zurückgerufen. Das kostet zwei Minuten und stoppt fast jeden Vishing-Versuch.
Phishing-resistente Anmeldung nutzen. Ein Einmalcode aus der App lässt sich am Telefon abfragen. Ein Hardware-Sicherheitsschlüssel nicht — der bindet die Anmeldung an die Domain und funktioniert schlicht nicht, wenn jemand anderes sie durchführt.
Cloud-Zugriffe begrenzen. Wer in Salesforce oder Snowflake große Exporte anstoßen darf, sollte das nur mit gesonderter Freigabe und Protokollierung tun. Ein plötzlicher Massenexport ist ein Alarm, kein Log-Eintrag.
FAZIT
Der teuerste Angriff des Monats brauchte keine Lücke — nur zwei Menschen, die einem freundlichen Anrufer geglaubt haben. Genau deshalb ist die Rückrufregel im Team wahrscheinlich das beste Sicherheitsprojekt, das du diese Woche starten kannst.