A McKesson, uma das maiores distribuidoras de produtos de saúde do mundo, confirmou um incidente cibernético descoberto em 25 de agosto de 2026. O grupo ShinyHunters assumiu o ataque e afirma ter retirado cerca de 1 TB de dados, aproximadamente 284 milhões de registros com informações pessoais e de saúde, e publicou a empresa em seu site de vazamentos para pressionar por resgate.

O detalhe que a área de GRC precisa notar não é o tamanho do vazamento. É como ele começou. Não houve firewall arrombado. Segundo o próprio grupo, tudo partiu de ligações telefônicas para funcionários. O ataque começou com uma conversa, não com um exploit.

O que aconteceu: um telefonema, um login e 1 TB de dados

A sequência descrita pelos atacantes mostra um caminho que não depende de nenhuma falha técnica sofisticada:

• Vishing. Ligações de voz enganaram vários funcionários da McKesson para obter credenciais.

• SSO comprometido. Com as credenciais, os atacantes usaram contas de single sign-on do Okta.

• Acesso a SaaS. A partir do SSO, alcançaram os ambientes de Salesforce e Snowflake.

• Exfiltração. Cerca de 1 TB de dados saiu entre 21 e 25 de agosto, antes da descoberta.

Cada etapa usou acesso legítimo. Nenhum alarme de invasão clássica disparou, porque, do ponto de vista dos sistemas, era um usuário autorizado entrando pela porta da frente.

O ataque não começou na rede: começou nas pessoas e no login

Durante anos, segurança foi sinônimo de proteger o perímetro da rede. Esse modelo não descreve mais a realidade. Quando um telefonema entrega uma credencial e um SSO abre dezenas de aplicações de uma vez, o perímetro deixou de ser a rede e passou a ser a identidade.

Defender identidade não é apenas exigir senha, é controlar o que cada login pode fazer. Isso significa autenticação resistente a phishing, menor privilégio para que uma credencial comprometida enxergue o mínimo possível, e monitoramento do comportamento de cada conta. Um SSO mal governado não é conveniência. É um ponto único de falha.

O acesso a terceiros é o novo campo de batalha

Os dados não estavam em um servidor interno. Estavam em Salesforce e Snowflake, plataformas SaaS de terceiros. É onde as empresas guardam cada vez mais informação, e é onde a governança de acessos costuma ser mais frouxa.
‍
Quem tem acessoa essas plataformas? Esse acesso é revisado? É revogado quando deixa de ser necessário? Sem inventário e revisão contínua dos acessos a SaaS e a fornecedores, o risco mora fora dos muros da empresa e aparece só depois que os dados já saíram.

284 milhões de registros de saúde, e o que a LGPD cobra

O ataque atingiu informações pessoais e dados de saúde, a categoria mais sensível que existe. Esse tipo de dado alimenta golpes de engenharia social e fraudes por anos, muito depois de o incidente sair das manchetes.

No Brasil, a LGPD trata dado de saúde como dado sensível, com proteção reforçada. A empresa precisa comunicar o incidente à ANPD e aos titulares, mas, antes disso, precisa demonstrar que mantinha controles de acesso e rastreabilidade à altura do risco. Setor de saúde é alvo preferencial justamente porque o dado vale mais e a governança nem sempre acompanha.

Detectar depois não é o mesmo que impedir

A exfiltração aconteceu ao longo de quatro dias antes da descoberta. Um terabyte não sai de uma empresa em silêncio, se alguém estiver olhando. Monitoramento contínuo de acessos e operações, com detecção de comportamento fora do padrão, é o que transforma quatro dias de vazamento em um alerta na primeira hora.

E há a trilha de auditoria. Sem rastreabilidade de quem acessou o quê e quando, reconstruir o incidente é lento e a resposta ao regulador chega tarde. Rastreabilidade não serve para punir depois. Serve para enxergar durante.

Como a Vennx atua

Governança de identidade, acesso a terceiros e rastreabilidade não se sustentam em boa vontade e planilhas. Precisam de governança de acessos automatizada e contínua. É nesse ponto que a Vennx atua:

• Oráculo. Monitoramento contínuo e trilha de auditoria de acessos e operações sensíveis, com detecção de comportamentos forado padrão como acessos anômalos e exfiltração.

• VAR (Vennx Access Radar). Revisão periódica e automação da concessão e revogação de acessos, incluindo SSO e plataformas de terceiros, para que nenhuma credencial guarde poder além do necessário.

• SoD Discovery. Segregação de funções com IA, que limita o alcance de um login comprometido e impede a concentração de acessos críticos.

É a lógica que faz a diferença entre reagir a um vazamento e evitá-lo: controle antes do incidente, e não a reconstrução dos fatos depois da exposição.

Conclusão

A McKesson não foi derrubada por uma tecnologia inédita. Foi por um telefonema, um login e um acesso amplo demais. Esse é o novo padrão de ataque, e ele mira empresas de todos os portes e setores, com predileção pela saúde.

No modelo atual, a identidade é o perímetro. E um perímetro sem vigilância é só uma porta destrancada.

Se um login legítimo fosse usado contra a sua empresa amanhã, quanto tempo levaria até alguém perceber?

Conheça o Oráculo, o VAR e o SoD Discovery e faça da governança de identidade a sua linha de defesa.

Fale com um especialista da Vennx.