AdaptHealth : 4,1 millions de patients exposés par ShinyHunters via ingénierie sociale

Les faits

AdaptHealth LLC, l'un des plus importants fournisseurs américains de dispositifs médicaux à domicile (équipements CPAP/APAP pour apnée du sommeil, concentrateurs d'oxygène, fauteuils roulants, lits médicalisés), a confirmé le 9 septembre 2026 une violation de données majeure affectant 4 115 802 personnes. L'entreprise, dont le siège est en Pennsylvanie, dessert des patients dans 47 États américains via un réseau de plus de 500 points de service.

L'incident a été découvert en juillet 2026, mais l'enquête forensique conduite par des spécialistes externes a établi que l'intrusion initiale remonte à juin 2026. Le vecteur d'entrée est une attaque d'ingénierie sociale — typiquement vishing (phishing vocal) ou usurpation d'identité — ciblant un prestataire tiers disposant d'un accès privilégié aux systèmes cloud d'AdaptHealth. Le nom de ce prestataire n'a pas été divulgué dans la notification aux patients.

L'attribution au groupe ShinyHunters est confirmée par des sources sectorielles citées par BleepingComputer et SecurityWeek dans leurs articles du 10 septembre 2026. ShinyHunters est un groupe de cybercriminels spécialisé dans l'exfiltration de données sans chiffrement — leur modèle opératoire en 2026 consiste à collecter des données massives, puis à négocier leur non-publication ou à les revendre sur des forums criminels. Ce mode d'opération documenté dans plusieurs dizaines d'incidents depuis 2025 touche désormais le secteur de la santé américain.

L'accès compromis a permis aux attaquants d'atteindre plusieurs systèmes cloud d'AdaptHealth, incluant des applications de gestion de patients, des plateformes de stockage documentaire et des portails vers des systèmes de dossiers médicaux électroniques (EHR). L'investigation a confirmé que les attaquants ont eu accès à ces systèmes pendant une période non précisée avant la détection, ce qui suggère un temps de présence potentiellement supérieur à plusieurs semaines.

Les données exposées comprennent des informations personnelles d'identification (noms, adresses postales, adresses e-mail, numéros de téléphone), des données démographiques, des informations d'assurance santé (numéros de police, prestataires d'assurance, informations de prise en charge) et des données médicales liées aux équipements fournis (diagnostics associés, prescriptions, informations de traitement). AdaptHealth a précisé que les numéros de sécurité sociale (SSN) et les informations financières ne figurent pas dans le périmètre des données compromises.

L'entreprise a notifié le 10 septembre 2026 l'ensemble des 4 115 802 personnes concernées par courrier postal et e-mail, conformément aux obligations du HIPAA (Health Insurance Portability and Accountability Act) et du HHS (Department of Health and Human Services). AdaptHealth propose à l'ensemble des victimes une surveillance du crédit gratuite pendant au moins 12 mois, ainsi qu'un service de protection contre l'usurpation d'identité via un prestataire spécialisé.

Cet incident illustre une tendance lourde documentée par Black Kite dans son rapport 2026 : 44 % de l'ensemble des violations de données impliquent désormais des tiers (fournisseurs, prestataires, sous-traitants) comme vecteur d'entrée initial. Le secteur de la santé reste la cible la plus rentable pour les groupes cybercriminels en raison de la densité des données personnelles sensibles et des contraintes réglementaires qui imposent une notification publique des incidents.

ShinyHunters avait précédemment revendiqué en 2026 des intrusions dans plusieurs plateformes technologiques et services en ligne. Leur passage au secteur de la santé américaine représente une évolution tactique notable : les données médicales sont valorisées sur les marchés souterrains entre 20 et 350 dollars par dossier complet, contre 1 à 5 dollars pour un simple enregistrement financier. Avec 4,1 millions de dossiers incluant des informations de santé, le butin potentiel de cette opération est évalué à plusieurs dizaines de millions de dollars en valeur marchande criminelle.

Impact et exposition

L'ensemble des 4 115 802 patients ayant eu recours aux services d'AdaptHealth entre 2018 et juin 2026 est potentiellement concerné. Le risque principal pour les victimes est le phishing ciblé (spear phishing) exploitant leurs données médicales et d'assurance pour des escroqueries médicales ou des demandes de remboursement frauduleuses. La combinaison nom + assurance santé + diagnostic constitue un profil suffisant pour des fraudes à la facturation médicale. Le risque d'usurpation d'identité complète est limité par l'absence de SSN dans les données exposées.

Recommandations

• Pour les patients concernés : Accepter l'offre de surveillance du crédit proposée par AdaptHealth et activer une alerte de fraude auprès des agences de crédit (Equifax, Experian, TransUnion).
• Pour les RSSI du secteur santé : Auditer immédiatement les accès tiers privilégiés à vos systèmes cloud — inventorier qui a accès, depuis quand, avec quel niveau de permissions et quelle MFA.
• Accès prestataires : Implémenter le principe du moindre privilège (PoLP) pour tous les accès tiers, avec révision trimestrielle des droits et révocation automatique à l'issue des contrats.
• Détection social engineering : Former les équipes IT et help desk aux attaques de vishing et d'usurpation d'identité — ShinyHunters utilise des scripts d'appel très convaincants.
• Segmentation : Vérifier que les accès aux EHR et systèmes de gestion de patients sont segmentés des accès administratifs et qu'aucun compte prestataire n'a d'accès transverse non justifié.