Un géant de la distribution pharmaceutique vient de devenir le dernier nom ajouté à une liste croissante d’entreprises américaines de santé touchées par des pirates à la recherche de dossiers de patients. La violation de données McKesson, révélée le 28 août 2026, a déjà déclenché une demande de rançon de plusieurs dizaines de millions de dollars et mis en danger des informations médicales sensibles concernant potentiellement des millions de patients.
Summary
Points clés à retenir
- McKesson a détecté un accès non autorisé à des applications tierces le 25 août 2026 et a divulgué l’incident dans un dépôt auprès de la SEC.
- Le groupe d’extorsion ShinyHunters affirme avoir volé environ 284 millions d’enregistrements de données dans les environnements Snowflake et Salesforce de McKesson — un chiffre qui représente des lignes de base de données, et non un nombre confirmé de patients uniques.
- Les pirates affirment avoir utilisé des appels de vishing pour tromper des employés et détourner des comptes Okta de connexion unique, puis se sont déplacés latéralement vers des systèmes cloud sur une période de quatre jours entre le 21 et le 25 août.
- ShinyHunters a exigé une rançon de 55 236 150 $ et a donné à McKesson 72 heures pour répondre ; l’entreprise ne l’aurait jamais fait.
- McKesson a confirmé une dégradation intermittente des services mais a refusé d’indiquer combien de personnes étaient concernées ou quelle demande de rançon elle avait reçue.
La violation et les affirmations de ShinyHunters
La propre divulgation de McKesson était soigneusement formulée et pauvre en détails, mais elle a confirmé l’essentiel de l’histoire : des intrus ont accédé à des applications tierces et en ont extrait des données avant que l’entreprise ne s’en rende compte. La violation de données McKesson a été signalée pour la première fois en interne le 25 août 2026, et l’entreprise a indiqué à la Securities and Exchange Commission que son enquête en était encore « à ses débuts », ajoutant qu’elle n’avait pas encore déterminé si l’incident était significatif sur le plan financier.
Le directeur de l’information et de la technologie de McKesson, Francisco Fraga, a indiqué aux clients que l’accès non autorisé confirmé et l’exfiltration de données concernaient « un sous-ensemble de clients au sein de nos unités commerciales Oncology & Multispecialty et Medical-Surgical ». Il a également précisé que l’entreprise ne déconnectait pas de manière proactive les systèmes et ne pensait pas que les clients devaient prendre des mesures, tout en reconnaissant que l’enquête était en cours.
Comment les pirates sont-ils entrés ?
ShinyHunters, décrit comme l’une des opérations d’extorsion de données les plus actives de ces deux dernières années, a indiqué à Bleeping Computer et TechCrunch qu’il avait obtenu un accès via des appels de hameçonnage vocal — ou vishing — visant des employés de McKesson. Selon le groupe, la campagne reposait sur un domaine ressemblant, mckesson[.]claims, conçu pour imiter le service d’assistance interne ou l’équipe informatique de l’entreprise, une tactique qui correspond à un schéma plus large que les chercheurs de ReliaQuest suivaient déjà à travers plusieurs organisations ciblées utilisant le schéma de dénomination « .claims ».
Une fois que les attaquants ont trompé les employés pour qu’ils remettent leurs identifiants, ils ont pris le contrôle de comptes Okta de connexion unique. À partir de là, ShinyHunters affirme s’être déplacé vers les environnements cloud Salesforce et Snowflake de McKesson, où se trouvent la majeure partie des données patients et des données commerciales de l’entreprise.
Ce qu’ils disent avoir volé
L’ampleur du vol revendiqué est ce qui fait ressortir cet incident. ShinyHunters a indiqué à Bleeping Computer avoir exfiltré environ un téraoctet de données sur quatre jours, entre le 21 et le 25 août, et que l’environnement Snowflake à lui seul avait fourni environ 284 millions d’enregistrements de données. Le groupe a depuis précisé que ce nombre reflète des lignes brutes de base de données plutôt qu’un nombre confirmé de patients uniques, et il a admis ne pas avoir encore analysé entièrement le butin pour déterminer combien d’individus y sont réellement représentés.
Cette distinction est importante. Elle signifie que la véritable portée de la violation de données McKesson reste réellement incertaine, même selon les pirates eux-mêmes, et McKesson n’a pas fourni sa propre estimation.
Indépendamment du nombre exact de personnes concernées, les catégories de données prétendument volées sont vastes. ShinyHunters affirme que le trésor comprend les noms, adresses personnelles, dates de naissance, numéros de sécurité sociale, identifiants de patients, numéros de téléphone, adresses e-mail, numéros Medicaid, numéros de dossiers médicaux, informations sur les médicaments et les allergies, maladies, handicaps, détails de rendez-vous et informations sur les médecins. Le groupe affirme également que les fichiers volés concernent des patients décédés et en phase terminale, des dossiers d’ordonnances et d’expédition de médicaments, des factures, des communications internes et des informations liées aux prestataires de soins de santé et aux cliniques qui utilisent les services de McKesson. TechCrunch a indiqué avoir vérifié un petit échantillon des données divulguées par rapport à des registres publics, bien qu’aucune des affirmations plus larges n’ait été confirmée de manière indépendante par des chercheurs externes ou par McKesson elle-même.
Indépendamment des dossiers de patients, les pirates affirment que des informations sur les employés de McKesson — y compris leurs adresses personnelles — ont également été emportées lors de l’exfiltration, étendant les répercussions au-delà de la base de clients de l’entreprise.
Un ultimatum de 55 millions de dollars et la réponse de McKesson
L’extorsion, et pas seulement le vol, semble être l’objectif final ici. ShinyHunters a indiqué à Bleeping Computer qu’il avait contacté McKesson juste après avoir terminé le vol de données le 25 août et exigé une rançon de exactement 55 236 150 $, donnant à l’entreprise un délai de 72 heures pour répondre. Selon le groupe, McKesson n’a jamais répondu à la demande.
Publiquement, McKesson s’en tient à un discours limité. La porte-parole Kristina Chang a déclaré à TechCrunch que l’entreprise « continue d’opérer dans toutes ses lignes d’activité » et a indiqué que McKesson ne pense pas qu’il y ait une activité non autorisée en cours dans ses systèmes. L’entreprise a confirmé que les clients pouvaient subir une dégradation intermittente des services liée à l’incident, mais elle a refusé de répondre à des questions précises sur la demande de rançon ou sur le nombre de personnes dont les données ont été affectées.
Ce silence est notable en soi. Pourquoi cela compte : lorsqu’une entreprise qui gère des données de patients à l’échelle de McKesson ne confirme pas combien de personnes sont touchées, les patients, les prestataires et les régulateurs sont laissés à deviner l’exposition réelle — et cette incertitude a tendance à persister bien après que les gros titres initiaux se sont estompés.
Un schéma croissant de cyberattaques dans la santé
McKesson n’est pas un cas isolé — c’est la dernière entrée d’une vague rapide d’attaques contre les entreprises américaines de santé et de technologies médicales. Une cyberattaque a frappé le fabricant de dispositifs médicaux Boston Scientific la semaine dernière, provoquant d’importantes perturbations sur une grande partie de son réseau, le mettant hors ligne, faisant écho à un incident antérieur chez un autre fabricant de dispositifs, Stryker, où des pirates ont abusé d’outils internes pour effacer à distance des milliers d’appareils appartenant à des employés.
Abbott Laboratories et Medtronic ont également subi des cyberattaques ces derniers mois. Des violations de données ont touché l’entreprise de technologies de santé TriZetto et le fournisseur de dossiers médicaux électroniques CareCloud, chacune affectant plus de 3 millions de patients. ShinyHunters lui-même a également revendiqué des violations chez One Medical, propriété d’Amazon, et chez l’assureur dentaire DentaQuest, ainsi que des attaques contre Medtronic, iRhythm et AdaptHealth.
Health-ISAC a déjà averti les organisations de santé de la montée des attaques de ShinyHunters basées sur l’ingénierie sociale visant les comptes d’entreprise et les plateformes cloud ou SaaS — exactement le mode opératoire qui aurait été utilisé contre McKesson. Pour un secteur qui stocke certaines des données personnelles les plus sensibles qui existent, la répétition de ce même schéma vishing-vers-violation-cloud suggère que les attaquants ont trouvé une méthode qui fonctionne de manière constante, et les cyberattaques dans la santé liées à des groupes comme ShinyHunters ne montrent aucun signe de ralentissement.
FAQ
Qui est responsable de la violation de données chez McKesson ?
Le groupe de pirates ShinyHunters a revendiqué la responsabilité de la cyberattaque, affirmant avoir obtenu un accès via des appels de vishing et de l’ingénierie sociale visant les employés de McKesson.
Quel type de données a été volé lors de la cyberattaque contre McKesson ?
ShinyHunters affirme avoir pris environ 284 millions d’enregistrements de données contenant des informations personnelles et de santé protégées, ainsi que des données personnelles d’employés telles que des adresses personnelles. Ce chiffre reflète des lignes de base de données plutôt qu’un nombre confirmé de patients uniques.
Comment les pirates ont-ils accédé aux systèmes de McKesson ?
Selon les pirates, des appels de vishing ont trompé des employés pour qu’ils fournissent leurs identifiants, qui ont été utilisés pour détourner des comptes Okta de connexion unique. À partir de là, les attaquants sont passés aux environnements Salesforce et Snowflake hébergés dans le cloud de McKesson pour extraire des données.
McKesson a-t-elle payé la rançon exigée par les pirates ?
McKesson a refusé de divulguer des détails sur un éventuel paiement de rançon. ShinyHunters affirme avoir exigé 55 236 150 $ avec un délai de 72 heures et que McKesson n’a jamais répondu à cette demande.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Qui est responsable de la violation de données chez McKesson ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Le groupe de pirates ShinyHunters a revendiqué la responsabilité de la cyberattaque, affirmant avoir obtenu un accès via des appels de vishing et de l’ingénierie sociale visant les employés de McKesson. »}},{« @type »: »Question », »name »: »Quel type de données a été volé lors de la cyberattaque contre McKesson ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »ShinyHunters affirme avoir pris environ 284 millions d’enregistrements de données contenant des informations personnelles et de santé protégées, ainsi que des données personnelles d’employés telles que des adresses personnelles. Ce chiffre reflète des lignes de base de données plutôt qu’un nombre confirmé de patients uniques. »}},{« @type »: »Question », »name »: »Comment les pirates ont-ils accédé aux systèmes de McKesson ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Selon les pirates, des appels de vishing ont trompé des employés pour qu’ils fournissent leurs identifiants, qui ont été utilisés pour détourner des comptes Okta de connexion unique. À partir de là, les attaquants sont passés aux environnements Salesforce et Snowflake hébergés dans le cloud de McKesson pour extraire des données. »}},{« @type »: »Question », »name »: »McKesson a-t-elle payé la rançon exigée par les pirates ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »McKesson a refusé de divulguer des détails sur un éventuel paiement de rançon. ShinyHunters affirme avoir exigé 55 236 150 $ avec un délai de 72 heures et que McKesson n’a jamais répondu à cette demande. »}}]}
Article produit avec l’aide de l’intelligence artificielle et relu par l’équipe éditoriale.
