McKesson révèle une violation : ShinyHunters revendique 284 millions de dossiers de santé volés par vishing

L’incident et la découverte

Le 28 août 2026, McKesson, l’un des principaux distributeurs pharmaceutiques et de soins de santé aux États-Unis, a divulgué un incident de cybersécurité. L’entreprise a déposé un formulaire 8-K auprès de la SEC et a annoncé avoir détecté le 25 août un accès non autorisé à des applications tierces ayant entraîné l’exfiltration de données. L’enquête en est à ses débuts. McKesson a indiqué que, à la date du dépôt, elle n’a pas établi que l’incident est matériel ou qu’il a eu, ou pourrait raisonnablement avoir, un impact matériel sur ses conditions financières ou ses résultats d’exploitation. Les mises à jour officielles sont disponibles sur www.mckesson.com/cybersecurity.

Le même 28 août, le groupe criminel ShinyHunters a revendiqué l’attaque dans une déclaration à BleepingComputer. McKesson n’a pas confirmé la revendication ni précisé quelles applications tierces ont été compromises, quel vecteur d’accès a été utilisé ou quelles données ont été volées.

La chaîne d’attaque revendiquée : vishing, Okta, Salesforce et Snowflake

Selon ShinyHunters, l’accès initial a été obtenu par vishing, c’est-à-dire par hameçonnage vocal, contre plusieurs employés de McKesson. Le groupe affirme avoir utilisé le domaine mckesson[.]claims pour se faire passer pour le help desk ou l’équipe informatique de l’entreprise. Ce domaine coïncide avec une campagne déjà documentée par l’équipe de recherche sur les menaces de ReliaQuest, qui avait enregistré des domaines .claims contenant des noms ou des abréviations d’entreprises ciblées précisément à cette fin. Le signalement était apparu dans un message sur X, depuis supprimé.

Le vishing aurait conduit à la compromission de plusieurs comptes Okta d’authentification unique (SSO) des employés. À partir de là, les attaquants déclarent avoir accédé aux environnements Salesforce et Snowflake. ShinyHunters affirme avoir entièrement compromis Salesforce, y compris les dossiers de support, et avoir exfiltré de Snowflake une collection beaucoup plus vaste de 284 millions d’enregistrements de données de patients. L’exfiltration se serait déroulée sur quatre jours, du 21 au 25 août 2026, pour un total d’environ 1 To de données.

McKesson n’a confirmé aucun détail de cette séquence. Les versions exactes des produits concernés n’ont pas été divulguées.

Données de santé sensibles et rançon de 55 millions de dollars

ShinyHunters affirme que les données volées comprennent des noms, adresses, dates de naissance, numéros de sécurité sociale (Social Security numbers), identifiants de patients, numéros de téléphone, e-mails, numéros Medicaid, numéros de dossier médical, informations sur les médicaments et allergies, maladies, handicaps, rendez-vous et données des médecins. Le groupe cite également des données sur des patients décédés ou en phase terminale, des ordonnances et expéditions de médicaments, des factures, des données d’employés, des enregistrements Salesforce, des communications internes et des informations sur les fournisseurs ou cliniques utilisant les services McKesson.

Le groupe précise que les 284 millions sont un comptage brut d’enregistrements ou de lignes, et non d’individus uniques. Il n’a pas encore analysé les données et ne connaît pas le nombre de personnes uniques concernées. BleepingComputer n’a pas vérifié ces affirmations de manière indépendante et McKesson n’a pas révélé ce qui a effectivement été volé.

ShinyHunters déclare avoir contacté McKesson le 25 août 2026, à la fin du vol, exigeant une rançon de 55 236 150 dollars avec 72 heures pour répondre. Selon le groupe, l’entreprise n’a pas répondu ni négocié.

La réponse de McKesson et les incertitudes sur l’impact

McKesson a activé ses protocoles de réponse aux incidents, lancé une enquête et fait appel à des experts en cybersécurité. Dans une note aux clients, elle a confirmé l’implication d’applications tierces ainsi que l’accès et l’exfiltration non autorisés de données. L’entreprise a averti que les clients pourraient subir une dégradation intermittente des services considérée comme liée à l’attaque, mais a précisé qu’elle ne déconnectait pas proactivement les systèmes.

Aucune mesure technique d’atténuation spécifique pour les clients n’a été publiée. On ne sait pas quelles applications tierces ont été compromises, ni si les données des patients ont réellement été exfiltrées dans la quantité annoncée. La taille réelle en individus uniques reste incertaine.

Une attaque dans un contexte de pression croissante sur le secteur de la santé

L’attaque s’inscrit dans une vague de vols de données contre des organisations de santé et de technologies de santé attribués à ShinyHunters. Health-ISAC a récemment averti les organisations de santé de l’augmentation des attaques par ingénierie sociale visant à compromettre des comptes d’entreprise et à accéder à des plateformes cloud et SaaS. D’autres entreprises de santé ciblées lors d’attaques récentes incluent Medtronic, DentaQuest, iRhythm, OneMedical et AdaptHealth.

Pour les organisations de santé, Health-ISAC recommande de se protéger contre le vishing et l’ingénierie sociale, de surveiller les domaines .claims usurpant des help desks ou des équipes informatiques, et de prêter attention aux accès anormaux sur Okta, Salesforce et Snowflake. Il ne s’agit pas d’une vulnérabilité logicielle avec un correctif à appliquer, mais d’une compromission d’identité et d’accès cloud. Les entreprises devraient vérifier les journaux d’authentification, les règles d’accès conditionnel et les signalements des employés concernant des appels suspects.

On ignore si McKesson a déjà notifié les patients ou employés concernés. Les personnes ayant eu des relations avec McKesson devraient surveiller les communications suspectes, les mouvements bancaires ou les demandes de crédit non reconnues. Mais en l’absence de confirmations publiques sur les données réellement exfiltrées, il est trop tôt pour évaluer l’exposition individuelle.