Vụ việc McKesson công bố sự cố an ninh mạng ngày 28/8/2026 đang làm nổi bật một vấn đề lớn hơn trong ngành y tế: nhóm tống tiền dữ liệu ShinyHunters không chỉ tìm lỗ hổng kỹ thuật, mà còn khai thác điểm yếu trong quy trình xác minh danh tính, hỗ trợ tài khoản và quản trị ứng dụng đám mây.
Theo BleepingComputer, McKesson cho biết sự cố liên quan đến truy cập trái phép vào các ứng dụng của bên thứ ba và hành vi đánh cắp dữ liệu. Công ty phát hiện sự cố vào ngày 25/8/2026, kích hoạt quy trình ứng phó, thuê chuyên gia an ninh mạng và cho biết cuộc điều tra vẫn ở giai đoạn đầu. Trong hồ sơ 8-K gửi Ủy ban Chứng khoán và Giao dịch Mỹ, McKesson nói chưa xác định sự cố có tác động trọng yếu đến tình hình tài chính hoặc kết quả kinh doanh.
ShinyHunters là ai?
ShinyHunters là một nhóm tội phạm mạng nổi lên với các chiến dịch đánh cắp dữ liệu và tống tiền, thường nhắm vào doanh nghiệp có khối lượng dữ liệu khách hàng lớn. Trong các năm gần đây, nhóm này được nhắc đến nhiều hơn trong những vụ việc liên quan nền tảng SaaS, tài khoản đăng nhập một lần và dữ liệu nằm trong các hệ thống kinh doanh như Salesforce, Snowflake, Microsoft 365 hoặc SharePoint.
Điểm đáng chú ý là ShinyHunters không luôn cần một lỗ hổng phần mềm mới để tạo ra thiệt hại lớn. Mẫu tấn công được Health-ISAC cảnh báo trong tháng 7/2026 cho thấy nhóm có xu hướng dùng vishing, tức lừa đảo qua cuộc gọi thoại, để thuyết phục nhân viên hoặc bộ phận hỗ trợ thay đổi mật khẩu, đặt lại MFA hoặc đăng ký thiết bị xác thực mới. Khi chiếm được tài khoản SSO, kẻ tấn công có thể dùng chính quyền truy cập hợp lệ của nạn nhân để đi vào nhiều ứng dụng đám mây.
Diễn biến vụ McKesson
McKesson là một trong những doanh nghiệp phân phối dược phẩm và dịch vụ y tế lớn tại Mỹ, phục vụ nhà cung cấp dịch vụ chăm sóc sức khỏe, nhà thuốc và các đối tác trong chuỗi cung ứng. Vì vậy, mọi sự cố liên quan dữ liệu của công ty đều có khả năng tạo tác động vượt ra ngoài phạm vi một hệ thống CNTT đơn lẻ.
BleepingComputer dẫn thông tin từ ShinyHunters cho biết nhóm này nhận trách nhiệm vụ tấn công và tuyên bố đã thực hiện các cuộc gọi vishing nhắm vào nhiều nhân viên McKesson. Nhóm nói các tài khoản Okta SSO bị chiếm quyền sau đó được dùng để truy cập môi trường Salesforce và Snowflake. BleepingComputer cũng cho biết một nguồn khác liên hệ tên miền mckesson[.]claims với chiến dịch này, phù hợp với mẫu tên miền company[.]claims mà ReliaQuest từng theo dõi trong các chiến dịch giả mạo bộ phận hỗ trợ CNTT.
Theo tuyên bố của ShinyHunters với BleepingComputer, nhóm đã lấy khoảng 1 TB dữ liệu trong bốn ngày, từ 21/8 đến 25/8, và đưa ra yêu cầu tiền chuộc hơn 55 triệu USD. Nhóm cũng tuyên bố dữ liệu Snowflake chứa khoảng 284 triệu dòng bản ghi liên quan bệnh nhân. Chi tiết này cần được hiểu thận trọng: đây là số dòng dữ liệu mà nhóm tự công bố, không phải số bệnh nhân duy nhất, và McKesson chưa xác nhận công khai loại dữ liệu bị lấy.
Vì sao y tế trở thành mục tiêu hấp dẫn?
Dữ liệu y tế có giá trị cao vì thường kết hợp nhiều loại thông tin nhạy cảm: danh tính, bảo hiểm, lịch sử khám chữa bệnh, đơn thuốc, thông tin thanh toán và quan hệ giữa bệnh nhân với nhà cung cấp dịch vụ. Khi rơi vào tay tội phạm, dữ liệu này có thể phục vụ tống tiền, gian lận bảo hiểm, lừa đảo cá nhân hóa hoặc gây áp lực lên tổ chức nạn nhân bằng rủi ro pháp lý và uy tín.
Với các doanh nghiệp y tế lớn, bề mặt tấn công còn mở rộng qua nhiều ứng dụng bên thứ ba, hệ thống hỗ trợ khách hàng, tích hợp API và nền tảng phân tích dữ liệu. Nếu quy trình reset tài khoản hoặc thêm yếu tố MFA mới phụ thuộc quá nhiều vào cuộc gọi thoại, kẻ tấn công có thể biến bộ phận hỗ trợ thành điểm khởi đầu cho một vụ xâm nhập quy mô lớn.
Bài học kỹ thuật và quản trị
Health-ISAC khuyến nghị các tổ chức y tế coi SSO như tài sản trọng yếu cấp cao, yêu cầu xác minh ngoài kênh đối với mọi yêu cầu reset mật khẩu, reset MFA hoặc đăng ký thiết bị mới. Quy tắc “không xử lý ngay trong cùng cuộc gọi” là một biện pháp đơn giản nhưng quan trọng: yêu cầu phải đi qua ticket, callback tới số đã xác minh trước và phê duyệt bổ sung với tài khoản đặc quyền.
Các tổ chức cũng cần triển khai MFA chống phishing như FIDO2 hoặc WebAuthn cho quản trị viên, nhân sự hỗ trợ, lãnh đạo và nhóm có quyền truy cập dữ liệu nhạy cảm. Song song đó, cần giám sát đăng ký MFA mới, thiết bị mới, cấp quyền OAuth bất thường, tải dữ liệu hàng loạt, truy cập từ vị trí địa lý bất hợp lý và hoạt động API ngoài mẫu bình thường.
Kết luận
Hồ sơ ShinyHunters cho thấy ranh giới giữa “lừa đảo xã hội” và “xâm nhập kỹ thuật” ngày càng mờ. Khi tài khoản hợp lệ trở thành chìa khóa đi vào SaaS, hệ thống phòng thủ không thể chỉ dựa vào mật khẩu mạnh hoặc cảnh báo sau khi dữ liệu đã bị tải xuống. Vụ McKesson, dù còn đang điều tra, là lời nhắc rằng quy trình hỗ trợ danh tính, kiểm soát SSO và giám sát dữ liệu đám mây phải được xem là một phần cốt lõi của an ninh y tế hiện đại.
VNCyberS tổng hợp từ BleepingComputer, McKesson, SEC và Health-ISAC
Tiếng Việt
English