ShinyHunters vise Abbott Labs via un vishing Microsoft Entra

Comment ShinyHunters a infiltré Abbott Laboratories par téléphone

À la mi-juin 2026, le groupe cybercriminel ShinyHunters a lancé une campagne de vishing — voice phishing ou hameçonnage vocal — contre des employés d'Abbott Laboratories, géant américain de la santé affichant un chiffre d'affaires annuel de plus de 20 milliards de dollars. La technique est aussi ancienne qu'efficace : les attaquants appellent directement des salariés en se faisant passer pour le support informatique interne ou un prestataire de confiance. L'objectif est d'inciter la cible à valider une demande d'accès, à fournir un code d'authentification multifacteur ou à réinitialiser ses identifiants sans déclencher d'alerte.

Dans le cas d'Abbott, la manœuvre a abouti à la compromission d'un compte Microsoft Entra — l'ancienne Azure Active Directory — utilisé comme point d'entrée centralisé via le mécanisme de Single Sign-On (SSO) de l'entreprise. Un seul compte SSO compromis suffit, dans bien des architectures d'entreprise modernes, à ouvrir l'accès à de nombreuses applications connectées. C'est précisément ce qui s'est produit ici. Selon les informations rapportées par BleepingComputer et le HIPAA Journal, ShinyHunters affirme avoir navigué depuis ce compte vers plusieurs plateformes internes d'Abbott : ServiceNow, SharePoint, Databricks et Coupa — des outils au cœur des opérations quotidiennes d'un groupe industriel de cette taille, hébergeant données contractuelles, informations clients, projets de recherche et processus de facturation.

L'enquête interne d'Abbott a rapidement identifié un accès non autorisé aux systèmes hérités d'Exact Sciences, filiale spécialisée dans le diagnostic du cancer. Ces systèmes, qualifiés de "legacy", hébergeaient des données d'anciens clients et patients de l'activité Cancer Diagnostics. Le groupe revendique l'exfiltration d'environ 30 millions de lignes de données clients depuis ces systèmes, dont près d'un million de numéros de sécurité sociale américains associés à des noms, coordonnées et dates de naissance. Si cette volumétrie est confirmée, il s'agirait de l'une des violations de données de santé les plus importantes enregistrées aux États-Unis ces dernières années.

Simultanément, un second incident a été signalé. Le groupe ShadowByt3$ — distinct de ShinyHunters — a revendiqué l'accès au portail LabCentral d'Abbott, une interface de gestion des données de laboratoire. Abbott a ouvert une enquête séparée sur cette seconde revendication. La concomitance de deux incidents impliquant des acteurs différents soulève la question d'une éventuelle fragilité dans les accès tiers ou les portails externes d'Abbott, même si les vecteurs d'attaque semblent distincts à ce stade.

Après avoir consolidé l'accès aux systèmes d'Exact Sciences, ShinyHunters a contacté Abbott pour transmettre une demande d'extorsion. Sans que le montant exigé soit divulgué publiquement, le groupe a fixé une première échéance au 21 juillet 2026 pour la publication des données sur son site de fuite, une plateforme dark web que le collectif utilise régulièrement pour exercer une pression maximale sur ses victimes. Abbott a entamé des négociations et l'échéance a été repoussée. Selon les informations disponibles au 29 juillet, les données n'avaient pas encore été rendues publiques — mais la menace reste active.

Le profil de ShinyHunters est bien connu des équipes de réponse aux incidents. Ce groupe cybercriminel, actif depuis au moins 2020, s'est illustré dans des violations majeures contre Ticketmaster, Santander, l'opérateur AT&T, et plus récemment Ernst & Young en 2026. Sa signature tactique a évolué ces dix-huit derniers mois vers l'exploitation des comptes SSO via vishing ou SIM swapping, contournant les défenses techniques en exploitant le maillon humain. La compromission d'un compte Entra représente pour ShinyHunters un retour sur investissement élevé, ouvrant potentiellement l'accès à l'ensemble du parc applicatif d'une entreprise en un seul vecteur.

Abbott Laboratories a publié une déclaration confirmant l'existence d'une enquête sur "un accès non autorisé à certains systèmes", restant prudent sur l'étendue réelle des données compromises. L'entreprise a indiqué mobiliser des experts en cybersécurité externes et coopérer avec les autorités compétentes. La question des obligations de notification sous HIPAA est centrale : la loi américaine sur la confidentialité des données de santé impose une déclaration aux autorités fédérales et aux patients concernés dans les 60 jours suivant la découverte d'une violation touchant plus de 500 personnes. Avec une volumétrie revendiquée de 30 millions de lignes, Abbott se retrouve potentiellement face à l'une des plus grandes notifications HIPAA de l'histoire récente du secteur.

Il convient de rappeler que les revendications de ShinyHunters n'ont pas toutes été vérifiées indépendamment à ce stade. Le groupe a par le passé tendance à surestimer les volumes exfiltrés lors des premières communications. Néanmoins, le fait qu'Abbott ait confirmé l'existence d'un accès non autorisé et ouvert deux enquêtes distinctes indique que la compromission est réelle, même si son amplitude exacte reste à établir par les investigations forensiques en cours.

Pourquoi le vishing via Entra SSO est devenu le vecteur favori des groupes d'extorsion

L'attaque contre Abbott illustre une tendance structurelle préoccupante : la centralisation de l'authentification via des plateformes de type SSO crée, si elle n'est pas correctement sécurisée, un point de défaillance unique d'une valeur considérable pour les attaquants. Microsoft Entra est aujourd'hui déployé dans des dizaines de milliers d'organisations à travers le monde. Sa compromission par vishing contourne l'ensemble des investissements techniques réalisés en matière de détection et de réponse : pas besoin d'exploiter une CVE ni de déployer un implant, il suffit de convaincre un employé de valider une demande d'accès.

Cette réalité impose une révision des architectures IAM (Identity and Access Management). La centralisation offre des avantages indéniables en matière de gestion des droits et d'auditabilité, mais elle exige des contrôles compensatoires robustes pour ne pas devenir un single point of failure. Des mécanismes comme la vérification hors bande pour tout changement d'accès, la limitation du périmètre accessible via SSO par segmentation des applications, et les alertes comportementales sur les connexions depuis de nouvelles localisations sont disponibles dans Entra mais souvent sous-déployés dans les environnements complexes.

Le secteur de la santé reste structurellement surexposé. Les données qu'il génère — diagnostics, numéros de sécurité sociale, historiques médicaux — se négocient dix à cent fois plus cher que les données financières sur les marchés clandestins, selon les estimations régulièrement publiées par les acteurs de threat intelligence. L'incident Abbott s'inscrit dans une série incluant Change Healthcare en 2024 et plusieurs acteurs du diagnostic en 2025, confirmant que la santé reste le secteur le plus ciblé par les groupes de vol de données.

Pour les DSI et RSSI concernés, le message est direct : si votre organisation déploie Microsoft Entra comme SSO central, la protection de ce point d'entrée doit être traitée comme un actif critique à part entière. Cela implique des exercices de simulation de vishing réguliers, des procédures de vérification hors bande documentées et systématiquement appliquées, et une supervision en temps réel des comportements d'accès inhabituels via les fonctionnalités d'Identity Protection d'Entra. Le coût d'une compromission — notification réglementaire, atteinte à la réputation, extorsion — dépasse largement le coût de ces mesures préventives.

Ce qu'il faut retenir

• ShinyHunters a exploité un vishing pour compromettre un compte Microsoft Entra SSO d'Abbott Laboratories et accéder aux systèmes hérités d'Exact Sciences, revendiquant 30 millions de lignes de données dont environ 1 million de numéros de sécurité sociale.
• Abbott a confirmé les enquêtes et négocié un report de la publication ; les données n'avaient pas été publiées au 29 juillet 2026, mais la menace d'extorsion reste active.
• Les organisations utilisant Microsoft Entra SSO doivent déployer des contrôles anti-vishing renforcés : vérification hors bande pour les changements d'accès, accès conditionnel strict, alertes comportementales et simulations régulières d'ingénierie sociale.