McKesson : ShinyHunters vole 284M de dossiers patients

Les faits

McKesson Corporation, l'un des plus grands distributeurs pharmaceutiques et prestataires de services de santé au monde (régulièrement classé parmi les 10 premières entreprises du Fortune 500 avec plus de 300 milliards de dollars de chiffre d'affaires annuel), a confirmé le 31 août 2026 avoir subi une compromission de sécurité majeure. Le groupe cybercriminel ShinyHunters revendique le vol de 284 millions de lignes de données dans l'environnement de données cloud de l'entreprise.

Selon les informations publiées par BleepingComputer et confirmées par plusieurs sources (HIPAA Journal, Cybernews, Help Net Security), l'attaque a été détectée par McKesson le 25 août 2026. L'exfiltration s'est déroulée entre le 21 et le 25 août 2026, soit une fenêtre de cinq jours pendant laquelle environ 1 téraoctet de données a été transféré hors de l'infrastructure de l'entreprise. ShinyHunters a ensuite exigé une rançon supérieure à 55 millions de dollars en échange de la non-publication de ces données.

Le vecteur d'attaque initial est particulièrement instructif : ShinyHunters a indiqué à BleepingComputer avoir utilisé du vishing — du phishing vocal — pour compromettre les identifiants d'employés de McKesson. Cette technique, consistant à appeler directement les collaborateurs en se faisant passer pour du support informatique interne ou un prestataire de confiance, a permis au groupe d'obtenir des credentials valides sans exploiter la moindre vulnérabilité technique. Une fois en possession de ces identifiants, les attaquants ont accédé à l'environnement Snowflake de l'entreprise — la plateforme de data warehouse cloud utilisée pour centraliser et analyser de grandes quantités de données.

Le recours à Snowflake comme vecteur d'exfiltration n'est pas un hasard. Depuis 2024, plusieurs incidents majeurs ont impliqué des environnements Snowflake mal sécurisés ou dont les accès ont été compromis via ingénierie sociale : les brèches chez Ticketmaster (560 millions de clients), Santander Bank, Advance Auto Parts et plusieurs dizaines d'autres organisations avaient déjà mis en lumière cette surface d'attaque. Dans tous ces cas, l'absence de MFA robuste sur les comptes Snowflake ou l'utilisation de credentials volés ont constitué le point d'entrée. McKesson semble s'inscrire dans ce même pattern, bien que l'entreprise n'ait pas encore divulgué tous les détails techniques.

La nature des données compromises est particulièrement sensible. ShinyHunters affirme disposer de noms complets, adresses postales, dates de naissance, numéros de sécurité sociale américains (SSN), identifiants patients, numéros de téléphone, adresses email, numéros Medicaid, numéros de dossiers médicaux, informations sur les médicaments prescrits, données sur les allergies, diagnostics et informations sur les handicaps, données de rendez-vous médicaux et informations sur les médecins traitants. Il est important de noter que la figure de 284 millions correspond à des lignes de données brutes, et non nécessairement à 284 millions de personnes physiques distinctes — McKesson n'a pas confirmé le nombre d'individus réellement affectés.

McKesson a indiqué que son enquête en est encore à ses stades initiaux au moment de la confirmation publique. L'entreprise a notifié les autorités compétentes, dont le Département américain de la Santé et des Services sociaux (HHS), comme l'impose le règlement HIPAA pour tout incident impliquant des données de santé protégées. Les obligations de notification aux individus affectés devraient suivre dans les semaines à venir, les exigences légales américaines imposant une notification dans les 60 jours suivant la découverte.

ShinyHunters est un groupe cybercriminel bien documenté, actif depuis au moins 2020. Le groupe avait notamment revendiqué la vente de données de 70 millions de clients AT&T en 2021, puis refait surface en 2024-2025 dans le cadre de campagnes Snowflake. Sa technique de vishing pour obtenir des credentials initiaux est cohérente avec le profil observé lors de ces campagnes précédentes : le groupe préfère l'ingénierie sociale efficace à l'exploitation de vulnérabilités techniques complexes, ce qui rend leurs attaques particulièrement difficiles à prévenir par les seuls moyens techniques.

L'impact pour McKesson va au-delà de la rançon exigée. Les données de santé volées ont une valeur extrêmement élevée sur les marchés cybercriminels — bien supérieure aux données financières classiques — car elles permettent de multiples formes d'exploitation : usurpation d'identité médicale, fraude à l'assurance, ciblage de phishing hyper-personnalisé et chantage individuel. Pour les patients concernés, le risque s'étend sur des années après l'incident.

Impact et exposition

Cet incident concerne directement les patients dont les données de santé transitent par les systèmes d'information de McKesson, notamment dans le cadre de la distribution pharmaceutique et des services de gestion de prestations de pharmacie (PBM) aux États-Unis. Pour les autres organisations utilisant Snowflake comme plateforme de données, cet incident est un rappel direct que la sécurisation des accès (MFA, rotation des credentials, monitoring des connexions anormales) doit être traitée comme priorité absolue.

Recommandations

• Pour les organisations utilisant Snowflake : activer impérativement le MFA sur tous les comptes, auditer les logs de connexion des 90 derniers jours pour détecter des accès depuis des IP ou horaires inhabituels.
• Former les équipes au vishing : simuler des appels frauduleux de faux support IT pour mesurer la résistance des collaborateurs et identifier les procédures de vérification à renforcer.
• Implémenter une procédure de vérification stricte pour toute demande de credentials reçue par téléphone, même émanant apparemment d'un collègue ou d'un prestataire connu.
• Surveiller les exports massifs de données dans les environnements cloud analytiques : un transfert de 1 To en 5 jours doit déclencher une alerte automatique.
• Segmenter les accès aux données sensibles : appliquer le principe du moindre privilège sur les comptes Snowflake, avec des rôles granulaires et des limites d'export configurées.