La mayor brecha corporativa revelada en agosto de 2026 no empezó con una vulnerabilidad. Empezó con una llamada telefónica.
El 25 de agosto, McKesson —una de las mayores distribuidoras farmacéuticas y de insumos de salud de Estados Unidos— detectó accesos no autorizados a aplicaciones de terceros y confirmó que se habían llevado datos. El grupo de extorsión ShinyHunters se atribuyó el ataque y afirmó que sus integrantes llegaron a esos datos llamando a empleados de McKesson, haciéndose pasar por soporte interno y convenciéndolos de entregar las credenciales del servicio de inicio de sesión único Okta de la compañía. Con ese acceso, dice el grupo, llegaron a los entornos de Salesforce y Snowflake de McKesson y extrajeron alrededor de un terabyte de datos a lo largo de cuatro días. Después exigieron un rescate de poco más de 55 millones de dólares.
La cifra que encabezó las notas fue de 284 millones de registros. Ese número merece un matiz, y el propio grupo terminó dándolo: se refiere a filas crudas de la exportación de Snowflake, no a 284 millones de pacientes distintos. El número real de personas afectadas es menor y, al momento de escribir esto, no está establecido. Aun así, el material es grave: nombres, direcciones, números de seguro social, números de expediente médico y de Medicaid, detalles de recetas y tratamientos, e información sobre prestadores de salud y sobre el personal de McKesson.
Nada de este ataque fue técnicamente difícil
Vale la pena detenerse ahí. No hubo cadena de exploits, ni malware a medida, ni técnica novedosa. Toda la intrusión consistió en una llamada convincente seguida del uso ordinario y autorizado de plataformas en la nube que la empresa había comprado a propósito.
No es un caso aislado. Al mismo grupo se lo ha vinculado con una serie de incidentes de 2026 construidos con la misma plantilla: datos privados de más de 30 millones de estudiantes y personal extraídos de la plataforma educativa Instructure/Canvas después de que un phishing telefónico consiguiera acceso de TI; unos 40 millones de registros de clientes de Charter Communications; cerca de 6 millones de Carnival. Agosto dejó otros de la misma familia: Manchester Airports Group confirmó una brecha que afectó a 8.8 millones de personas y expuso datos de contacto asociados a reservas de estacionamiento, salas VIP y Fast Track.
El hilo común no es un sector ni un tamaño de empresa. Es una arquitectura que hoy comparte casi todo el mundo.
Cuatro condiciones que lo hacen posible
A alguien se le puede convencer de entregar un acceso. El phishing telefónico funciona porque explota las ganas de ayudar bajo presión de tiempo, y porque quien llama suena como si perteneciera a la casa. La capacitación contra el phishing por correo prepara muy poco para un interlocutor seguro de sí mismo que ya conoce los nombres de tus colegas y cómo se llama tu sistema de tickets.
El inicio de sesión único convierte una credencial en muchas. El SSO es buena seguridad: centraliza la autenticación, acaba con la reutilización de contraseñas y te da un solo lugar donde revocar accesos. También significa que una credencial obtenida con éxito no es la puerta de una aplicación: es la puerta de todo aquello a lo que esa identidad tiene derecho a llegar.
Los datos no están en tu red. Salesforce, Snowflake, Microsoft 365, la plataforma de recursos humanos, la de facturación: los registros más sensibles que guarda hoy la mayoría de las empresas viven en infraestructura que no es suya y que no pueden vigilar con herramientas tradicionales. Un firewall no ve una consulta ejecutada contra tu propio almacén de datos por una sesión que se autenticó correctamente.
La exportación masiva es una función normal. Todas estas plataformas están diseñadas para que usuarios autorizados extraigan grandes volúmenes de datos. Para eso existen. Desde dentro de una sesión válida, la exfiltración masiva se parece a generar un reporte.
Junta esas cuatro condiciones y obtienes la forma del incidente: un terabyte saliendo a lo largo de cuatro días, por canales permitidos, bajo una identidad legítima, sin nada que un perímetro convencional marcaría.
Qué cambiar de verdad
Haz que la credencial no alcance por sí sola. La autenticación multifactor resistente al phishing —llaves de hardware o passkeys, no notificaciones push ni códigos— le quita el premio a la llamada. Quien le saca a un empleado la contraseña y un código de un solo uso no obtiene nada si el segundo factor está atado a un dispositivo físico y a un origen.
Dale a la mesa de ayuda un guion del que no se la pueda sacar discutiendo. Casi todas estas intrusiones giran sobre un restablecimiento de credencial o un reenrolamiento de MFA hecho para alguien que sonaba legítimo. La verificación debe ser por un canal alterno e idéntica siempre: una llamada de vuelta al número registrado, o confirmación con un responsable, sin excepciones por urgencia. Déjalo como procedimiento documentado, para que negarse a una petición inusual sea la opción fácil y no un juicio personal.
Sabe qué terceros tienen tus datos. La mayoría de las organizaciones no puede producir una lista actual de las plataformas SaaS que guardan registros de sus clientes o de su personal, ni decir quién dentro del negocio puede exportar desde cada una. Ese inventario es el prerrequisito de todo lo demás, y suele ser un ejercicio de una tarde que nadie tiene asignado.
Restringe quién puede extraer en volumen. La creación de reportes y la exportación masiva rara vez necesitan estar disponibles para todo el que tenga acceso. Acota esos permisos al puñado de roles que de verdad los requiere, y revisa la lista con una periodicidad fija.
Lee los registros de auditoría del SaaS. Todas las plataformas grandes emiten registros detallados de actividad: conjuntos de resultados enormes, integraciones de API nuevas, concesiones OAuth a aplicaciones desconocidas, inicios de sesión desde ubicaciones nuevas. Esos registros suelen estar activos y casi nunca se leen. Cuatro días de extracción sostenida son una ventana larga, en la que una alerta por volumen anómalo de exportación habría cambiado el desenlace.
Alerta sobre conexiones de aplicaciones nuevas. Una integración OAuth autorizada en silencio contra tu tenant es una de las señales tempranas más claras de que una cuenta fue tomada, y de las más fáciles de monitorear.
El resumen incómodo
La identidad es hoy el perímetro, y ese perímetro lo atiende gente a la que se puede llamar por teléfono. Las organizaciones que llevan una década endureciendo sus redes muchas veces no tienen casi visibilidad de las plataformas en la nube donde realmente están sus datos: quién entra, hasta dónde llegan esas cuentas y qué salió ayer.
Los atacantes se dieron cuenta. Dejaron de forzar la entrada y empezaron a iniciar sesión, y lo hacen a una escala que ya no depende de la sofisticación técnica. La respuesta defensiva no tiene glamour: autenticación resistente al phishing, una mesa de ayuda que verifica, un inventario real de dónde viven los datos y alguien que de verdad lea los registros que esas plataformas ya están escribiendo.
Fuentes
- McKesson breach: ShinyHunters claims 284m patient records — Cybernews
- ShinyHunters claims it stole 284 million patient records from McKesson — Help Net Security
- McKesson data breach — HIPAA Journal
- The worst hacks and breaches of 2026 so far — TechCrunch
