Fuite de données chez McKesson : des pirates affirment avoir volé 284 millions d’enregistrements et exigent 55 millions de dollars

Un grand groupe de distribution pharmaceutique est devenu la dernière organisation américaine du secteur de la santé visée par des pirates à la recherche de dossiers de patients. La fuite de données chez McKesson, révélée le 28 août 2026, a déclenché une demande de rançon d’un montant estimé à plusieurs dizaines de millions de dollars et suscité des inquiétudes concernant des informations médicales sensibles pouvant concerner des millions de patients. Comme McKesson occupe une place centrale dans la chaîne d’approvisionnement du secteur de la santé, toute compromission impliquant ses données commerciales et médicales a des répercussions non seulement pour l’entreprise elle-même, mais aussi pour les prestataires, cliniques et clients qui dépendent de ses services de distribution.

Points clés

McKesson a détecté un accès non autorisé à des applications tierces le 25 août 2026 et a divulgué l’incident dans un dépôt auprès de la SEC.

Le groupe d’extorsion ShinyHunters affirme avoir volé environ 284 millions d’enregistrements de données dans les environnements Snowflake et Salesforce de McKesson — un chiffre qui correspond à des lignes de base de données, et non à un nombre confirmé de patients uniques.

Les pirates disent avoir utilisé des appels de vishing pour tromper des employés et détourner des comptes Okta d’authentification unique, puis s’être déplacés latéralement dans des systèmes cloud sur une période de quatre jours entre le 21 août et le 25 août.

ShinyHunters a exigé une rançon de 55,236,150 dollars et a donné à McKesson 72 heures pour répondre ; selon les informations rapportées, l’entreprise ne l’aurait jamais fait.

McKesson a confirmé une dégradation intermittente du service mais a refusé d’indiquer combien de personnes ont été touchées ou quelle demande de rançon elle avait reçue.

La fuite et les affirmations de ShinyHunters

La communication de McKesson a été brève et peu détaillée, mais elle a confirmé l’élément central de l’incident : des intrus ont obtenu un accès à des applications tierces et ont extrait des données avant que l’entreprise ne détecte l’activité. La fuite de données chez McKesson a d’abord été identifiée en interne le 25 août 2026, et l’entreprise a indiqué à la Securities and Exchange Commission que son enquête en était encore « à ses débuts ». McKesson a également précisé qu’elle n’avait pas encore déterminé si l’incident était financièrement significatif.

Le directeur de l’information et des technologies de McKesson, Francisco Fraga, a indiqué aux clients que l’accès non autorisé confirmé et l’exfiltration de données avaient touché « une partie des clients de nos activités Oncology & Multispecialty et Medical-Surgical ». Il a ajouté que l’entreprise ne déconnectait pas proactivement ses systèmes et ne pensait pas que les clients devaient prendre des mesures, tout en soulignant que l’enquête se poursuivait.

Comment les pirates sont entrés

ShinyHunters, décrit comme l’un des groupes les plus actifs, a utilisé un domaine ressemblant à s’y méprendre, mckesson[.]claims, conçu pour se faire passer pour le service d’assistance interne ou l’équipe informatique de l’entreprise. Des chercheurs de ReliaQuest suivaient déjà un schéma plus large d’attaques similaires utilisant la dénomination « .claims » contre plusieurs organisations ciblées.

Après avoir trompé des employés pour obtenir leurs identifiants, les attaquants ont pris le contrôle de comptes Okta d’authentification unique. À partir de là, ShinyHunters affirme s’être déplacé vers les environnements cloud Salesforce et Snowflake de McKesson, où se trouvent la majeure partie des données patients et commerciales de l’entreprise.

Ce qu’ils disent avoir volé

L’ampleur du vol allégué est ce qui distingue cette affaire. ShinyHunters a indiqué à Bleeping Computer avoir exfiltré environ un téraoctet de données sur quatre jours, entre le 21 août et le 25 août, et que l’environnement Snowflake à lui seul avait fourni environ 284 millions d’enregistrements. Le groupe a ensuite précisé que ce chiffre correspondait à des lignes brutes de base de données et non à un décompte confirmé de patients uniques, ajoutant ne pas avoir entièrement analysé le contenu pour déterminer combien de personnes y figurent réellement.

Cette distinction est importante. Elle signifie que l’ampleur réelle de la fuite de données chez McKesson reste incertaine, y compris selon les pirates eux-mêmes, et McKesson n’a pas communiqué sa propre estimation.

Quel que soit le nombre exact de personnes concernées, les catégories de données prétendument volées sont nombreuses. ShinyHunters affirme que l’ensemble comprend des noms, adresses personnelles, dates de naissance, numéros de sécurité sociale, identifiants de patients, numéros de téléphone, adresses e-mail, numéros Medicaid, numéros de dossier médical, informations sur les médicaments et les allergies, maladies, handicaps, détails de rendez-vous et informations sur les médecins. Le groupe affirme également que les fichiers volés contiennent des informations concernant des patients décédés ou en phase terminale, des prescriptions et des expéditions de médicaments, des factures, des communications internes et des données liées à des prestataires de santé et à des cliniques utilisant les services de McKesson. TechCrunch a rapporté avoir vérifié un petit échantillon des données divulguées à l’aide de registres publics, même si les autres affirmations n’ont pas été confirmées indépendamment par McKesson ou par des chercheurs extérieurs.

En plus des dossiers patients, les pirates disent avoir également emporté des informations sur les employés de McKesson — y compris des adresses personnelles —, élargissant ainsi les conséquences au-delà de la clientèle de l’entreprise.

Un ultimatum de 55 millions de dollars et la réponse de McKesson

L’attaque semble avoir été motivée non seulement par le vol, mais aussi par l’extorsion. ShinyHunters a indiqué à Bleeping Computer avoir contacté McKesson juste après avoir terminé l’exfiltration des données le 25 août et exigé une rançon exacte de 55,236,150 dollars, en donnant à l’entreprise 72 heures pour répondre. Selon le groupe, McKesson n’aurait jamais répondu à cette demande.

Publiquement, McKesson a maintenu une réponse limitée. La porte-parole Kristina Chang a déclaré à TechCrunch que l’entreprise « continue d’opérer dans toutes ses lignes d’activité » et a affirmé que McKesson ne pensait pas qu’il y ait une activité non autorisée en cours dans ses systèmes. L’entreprise a confirmé que les clients pouvaient subir une dégradation intermittente du service liée à l’incident, mais elle a refusé de répondre à des questions précises concernant la demande de rançon ou le nombre de personnes dont les données ont été touchées.

Cette absence de communication est notable en soi. Pourquoi c’est important : lorsqu’une entreprise traitant des données de patients à l’échelle de McKesson ne confirme pas combien de personnes sont touchées, patients, prestataires et régulateurs doivent deviner l’ampleur réelle de l’exposition — et cette incertitude persiste souvent bien après la disparition des premiers titres.

Une vague croissante de cyberattaques dans le secteur de la santé

McKesson n’est pas un cas isolé : c’est la dernière entrée dans une vague d’attaques rapides visant des entreprises américaines de santé et de medtech. La semaine dernière, une cyberattaque a frappé le fabricant de dispositifs médicaux Boston Scientific, provoquant une forte perturbation et mettant une grande partie de son réseau hors ligne, faisant écho à un incident antérieur chez Stryker, où des pirates auraient utilisé des outils internes pour effacer à distance des milliers d’appareils d’employés.

Abbott Laboratories et Medtronic ont également subi des cyberattaques au cours des derniers mois. Des fuites de données ont touché la société de santé numérique TriZetto et le fournisseur de dossiers patients électroniques CareCloud, chacun impliquant plus de 3 millions de patients. ShinyHunters a aussi revendiqué des compromissions chez One Medical, filiale d’Amazon, et chez l’assureur dentaire DentaQuest, ainsi que des attaques contre Medtronic, iRhythm et AdaptHealth.

Health-ISAC a déjà alerté les organisations de santé sur la multiplication des attaques attribuées à ShinyHunters, fondées sur l’ingénierie sociale visant des comptes d’entreprise et des plateformes cloud ou SaaS — exactement le mode opératoire qui serait utilisé contre McKesson. Pour un secteur qui détient certaines des données personnelles les plus sensibles qui soient, la répétition de ce schéma vishing-vers-intrusion-cloud suggère que les attaquants ont trouvé une méthode qui fonctionne régulièrement, et les cyberattaques contre la santé liées à des groupes comme ShinyHunters ne montrent aucun signe de ralentissement.

FAQ

Qui est responsable de la fuite de données chez McKesson ?

Le groupe de piratage ShinyHunters a revendiqué la cyberattaque, affirmant avoir obtenu l’accès par des appels de vishing et par de l’ingénierie sociale visant des employés de McKesson.

Quel type de données a été volé lors de la cyberattaque contre McKesson ?

ShinyHunters affirme avoir pris environ 284 millions d’enregistrements contenant des informations personnelles et de santé protégées, ainsi que des données personnelles d’employés telles que des adresses personnelles. Ce chiffre correspond à des lignes de base de données plutôt qu’à un nombre confirmé de patients uniques.

Comment les pirates ont-ils accédé aux systèmes de McKesson ?

Selon les pirates, des appels de vishing ont trompé des employés et leur ont fait divulguer leurs identifiants, lesquels ont ensuite servi à détourner des comptes Okta d’authentification unique. À partir de là, les attaquants se sont déplacés vers les environnements Salesforce et Snowflake hébergés dans le cloud par McKesson afin d’extraire des données.

McKesson a-t-elle payé la rançon exigée par les pirates ?

McKesson a refusé de divulguer des détails concernant un éventuel paiement de rançon. ShinyHunters affirme avoir exigé 55,236,150 dollars avec un délai de 72 heures et que McKesson n’a jamais répondu à cette demande.

Article produit avec l’aide de l’intelligence artificielle et relu par l’équipe éditoriale.