Abbott Laboratories : ShinyHunters exfiltre données cancer research via vishing Entra SSO

Les faits

Abbott Laboratories, géant pharmaceutique et médical américain pesant plus de 40 milliards de dollars de chiffre d'affaires annuel, a confirmé enquêter sur deux incidents de sécurité distincts suite aux revendications du groupe ShinyHunters. L'attaque principale, révélée par BleepingComputer autour du 19 juillet 2026, a débuté mi-juin 2026 par une campagne de vishing ciblant plusieurs employés du groupe. Le vecteur d'entrée retenu par les attaquants : ingénierie sociale téléphonique pour compromettre un compte Microsoft Entra SSO.

ShinyHunters a expliqué le mécanisme précis à BleepingComputer. Les opérateurs ont contacté plusieurs employés par téléphone, se présentant comme du support IT interne ou un prestataire de confiance. Au moins un employé a fourni ses identifiants ou validé une demande d'accès qui a permis aux attaquants de s'emparer d'un token d'authentification SSO Microsoft Entra. Cette technique de vishing ciblé — souvent combinée avec des données préalablement collectées sur LinkedIn ou dans des fuites précédentes — est le mode opératoire signature de ShinyHunters depuis leurs opérations massives contre les clients Snowflake en 2024, qui avaient touché AT&T, Ticketmaster, Santander et plusieurs dizaines d'autres entreprises.

Une fois le compte Entra SSO compromis, les attaquants ont opéré latéralement dans les systèmes d'Abbott. Ils revendiquent un accès aux systèmes legacy d'Exact Sciences, la filiale Cancer Diagnostics d'Abbott spécialisée dans les tests de dépistage de cancer — notamment le test Cologuard pour la détection du cancer colorectal. Selon les informations partagées avec BleepingComputer et DataBreaches.Net, l'accès effectif aux données daterait du 4 juillet 2026, soit environ trois semaines après la compromission initiale du compte SSO. Cette fenêtre de présence non détectée est significative.

Les données exfiltrées auraient une valeur industrielle et commerciale considérable. Les attaquants revendiquent avoir extrait : certificats de fabrication CE, manuels opérationnels, spécifications techniques, dossiers réglementaires, archives d'exigences produits, fichiers d'étalonnage (calibrator value assignments) et fichiers de dosage biologiques (assay files). Ce profil cible délibérément la propriété intellectuelle industrielle et les certifications réglementaires, suggérant une connaissance préalable de la valeur des cibles.

Un second acteur, opérant sous le pseudonyme ShadowByt3$, a parallèlement revendiqué une intrusion distincte dans le portail LabCentral d'Abbott — une interface différente des systèmes Exact Sciences. Abbott confirme enquêter sur les deux incidents séparément. La simultanéité de deux groupes distincts ciblant la même organisation peut indiquer soit une coordination entre acteurs, soit que les failles d'accès d'Abbott étaient suffisamment connues dans les cercles cybercriminels pour attirer plusieurs opérateurs indépendants dans la même fenêtre temporelle.

ShinyHunters avait posé un premier ultimatum au 18 juillet 2026, menaçant de publier les données exfiltrées. La deadline a été prolongée au 21 juillet — pratique courante dans les opérations d'extorsion pour maintenir la pression tout en simulant une ouverture à la négociation. Au 20 juillet 2026, selon les informations de BleepingComputer et Malwarebytes, les données n'avaient pas encore été publiées. Le montant des demandes et le statut des négociations n'ont pas été divulgués par Abbott.

L'impact potentiel sur la recherche médicale est sérieux. Exact Sciences conduit des recherches en oncologie de précision et développe des biomarqueurs pour plusieurs types de cancer. L'exfiltration de fichiers d'essais biologiques, de spécifications techniques et de certifications réglementaires pourrait fournir à des acteurs malveillants ou à des concurrents étatiques des informations permettant d'accélérer des développements concurrents ou de fabriquer des contrefaçons conformes aux certifications volées. Le profil des données exfiltrées est cohérent avec les schémas d'espionnage industriel documentés par le FBI et les agences de renseignement américaines.

ShinyHunters est actif depuis 2020, impliqué dans certaines des plus grandes brèches de données des cinq dernières années. Leur mode opératoire a évolué des exfiltrations de bases de données massives vers un ciblage précis de l'infrastructure SSO des grandes entreprises, exploitant systématiquement la même faiblesse : la résistance insuffisante du facteur humain face aux demandes d'accès téléphoniques urgentes. En 2026, malgré des années de sensibilisation au phishing, cette technique reste l'une des plus efficaces disponibles pour les groupes cybercriminels.

Impact et exposition

L'impact direct concerne Abbott Laboratories et ses filiales, en particulier Exact Sciences dans le domaine du diagnostic oncologique. L'impact indirect est sectoriel : toutes les entreprises medtech et pharma utilisant Microsoft Entra SSO comme portail d'accès unique doivent réévaluer leurs contrôles anti-vishing et la robustesse de leur procédure de validation MFA. La question de la résistance des équipes IT helpdesk aux appels frauduleux reste un angle mort majeur de la plupart des programmes de sensibilisation.

Recommandations

• Former spécifiquement les équipes IT helpdesk aux techniques de vishing — y compris aux appels deepfake audio simulant une voix connue
• Imposer une vérification d'identité out-of-band (rappel sur numéro officiel, validation via messagerie interne connue) avant tout reset de MFA
• Déployer FIDO2/passkeys résistants au phishing sur tous les comptes à accès élevé — ces clés ne peuvent pas être transmises verbalement ni capturées par proxy
• Réduire la durée de vie des tokens SSO et activer des restrictions géographiques sur les connexions Entra ID
• Auditer les accès aux systèmes contenant de la propriété intellectuelle sensible pour limiter leur accessibilité via un SSO unique