Qué pasó
En agosto de 2026, McKesson, distribuidora de productos farmacéuticos y de salud, fue blanco de una campaña de extorsión del tipo «paga o lo publicamos» de un grupo que se hace llamar ShinyHunters. El grupo publicó después un gran volumen de datos que, según dijo, se llevó de la empresa. El catálogo de filtraciones registra 6,404,340 direcciones de correo únicas, junto con otros datos personales y profesionales. En su aviso, McKesson dijo que había detectado acceso no autorizado a ciertas aplicaciones de terceros, que los datos correspondían a un subconjunto de clientes de sus unidades de Oncología y Multiespecialidad y Médico-Quirúrgica, y que tenía una garantía razonable de que no había actividad no autorizada en curso. La empresa detectó el incidente el 25 de agosto de 2026 y lo comunicó a la SEC en un formulario 8-K. No ha dicho a cuántas personas afecta; la cifra de 6.4 millones sale de los datos publicados, no de McKesson.
Qué datos registra el catálogo
El catálogo de filtraciones registra estos tipos de datos para este incidente:
- Nombres
- Direcciones de correo
- Direcciones físicas
- Teléfonos
- Fechas de nacimiento
- Género
- Empleadores
- Datos de salud
Los datos de salud son lo más delicado de la lista. Un nombre, una fecha de nacimiento y un detalle clínico bastan para hacerse pasar por un paciente ante un centro de atención telefónica, presentar un reclamo falso al seguro o presionar a alguien con información privada sobre su salud. Un teléfono y un correo, por sí solos, son datos comunes. Unidos a un nombre, un empleador y un contexto clínico, hacen que un mensaje de phishing sea mucho más difícil de detectar, porque el remitente parece saber ya quién eres y a qué te dedicas.
A quién afecta
La descripción de la filtración en HIBP dice que los datos mezclan varios perfiles: destinatarios de campañas de marketing, pacientes, personal de McKesson y contactos de proveedores de salud externos. Si tu negocio compra material médico o quirúrgico a McKesson, tus propios datos de contacto pueden estar en el archivo, porque los contactos de proveedores externos forman parte de él. Una persona de una clínica o de un consultorio puede estar en la lista de contactos de McKesson, y su correo de trabajo, el nombre de su empleador y su contexto laboral están ahora en un conjunto de datos público. Esa combinación es justo lo que necesita una estafa convincente de proveedor o de factura. Para quienes son pacientes de consultorios de oncología o de especialidades, los datos de salud y de contacto también pueden alimentar mensajes que parezcan venir de un proveedor real.
Qué hacer esta semana
- Trata con cautela cualquier correo, llamada o mensaje que mencione una consulta médica reciente, una receta o un tema de seguros, aunque incluya tu nombre y tu fecha de nacimiento. Confirma llamando al proveedor a un número que busques tú, no al del mensaje.
- Pide a quien compre a McKesson o trabaje con proveedores de oncología o de material quirúrgico que avise de facturas, órdenes de compra o pedidos de cambio de datos de pago inesperados. Confirma cada uno por otro canal, como un teléfono conocido, antes de actuar.
- Revisa tu correo y el portal de tu seguro médico por si aparecen avisos de servicios que no recibiste. Los datos de salud pueden usarse para presentar reclamos falsos a tu nombre, y esos avisos suelen ser la primera señal de que alguien lo intentó.
Comprueba si te afecta
Puedes buscar tu dirección de correo en nuestra página de la filtración de McKesson para ver si aparece en el conjunto de datos.
Datos de Have I Been Pwned | Fuentes: BleepingComputer, HIPAA Journal, aviso de McKesson | Redactado con ayuda de IA y verificado contra estas fuentes el 25 de septiembre de 2026
Relacionados
- ShinyHunters en 2026: las 49 empresas y cómo entran
- ¿Me filtraron? Comprueba una dirección y recibe avisos
- Directorio de filtraciones