ShinyHunters revendique 284 millions d'enregistrements chez McKesson, la fuite sanitaire s'amplifie

McKesson, l'un des plus grands distributeurs de santé d'Amérique du Nord, a confirmé que des intrus avaient accédé à ses systèmes et exfiltré des données, quelques jours après que le groupe d'extorsion ShinyHunters a affirmé avoir dérobé des enregistrements correspondant à jusqu'à 284 millions d'entrées de patients. L'entreprise a révélé l'incident dans un formulaire 8-K déposé auprès de la Securities and Exchange Commission américaine et a confirmé qu'une enquête était en cours.

À lire aussi: La police néerlandaise arrête un présumé chef de ShinyHunters alors que les retombées de la fuite du FBI s'étendent · La branche japonaise de Sony, fournisseur d'accès, annonce une fuite de 2,6 millions d'enregistrements.

Les chiffres sont extraordinaires, et la manière dont l'intrusion se serait déroulée l'est tout autant : non pas par une vulnérabilité logicielle, mais par un appel téléphonique. Selon BleepingComputer et CyberInsider, ShinyHunters a déclaré aux journalistes avoir eu recours à l'hameçonnage vocal (le vishing) pour inciter des employés à livrer leurs identifiants, puis utilisé ces identifiants pour prendre le contrôle de comptes à authentification unique Okta. De là, le groupe dit avoir pénétré les environnements Salesforce et Snowflake de l'entreprise et exfiltré environ un téraoctet de données sur quatre jours, entre le 21 et le 25 août.

McKesson a déclaré avoir détecté l'incident pour la première fois le 25 août. Dans son avis public, l'entreprise évoque « un incident de cybersécurité impliquant des applications tierces et un accès non autorisé ainsi qu'une exfiltration de données », et indique que l'incident semble concerner des données relatives à « un sous-ensemble de clients de nos activités Oncology & Multispecialty et Medical-Surgical ».

Le chiffre de 284 millions, décortiqué

La mise en garde la plus importante de cette affaire est que 284 millions ne signifient pas 284 millions de personnes. ShinyHunters a d'abord alimenté des titres suggérant autant de patients concernés; le groupe a ensuite précisé à BleepingComputer que le chiffre est un décompte brut d'environ 284 millions d'enregistrements ou de lignes, et qu'il n'a pas analysé le butin assez finement pour savoir combien de personnes distinctes s'y trouvent. Un patient apparaît généralement dans de nombreuses lignes (rendez-vous, ordonnances, factures, communications), de sorte que le nombre réel de personnes est presque certainement inférieur, même si l'exposition pratique peut rester énorme.

ShinyHunters affirme que les données comprennent noms, adresses, dates de naissance, numéros de sécurité sociale, identifiants de patients, numéros de téléphone, adresses e-mail, numéros de Medicaid, numéros de dossier médical, informations sur les médicaments et les allergies, maladies et diagnostics, détails de rendez-vous et informations sur les médecins. Le groupe affirme aussi détenir des dossiers d'employés, des données de facturation et d'ordonnances, des communications internes et ce que CyberInsider a décrit comme le contenu d'e-mails entre médecins et patients, mais pas les pièces jointes. Rien de tout cela n'a été vérifié de manière indépendante, et McKesson refuse de confirmer les types de données précis ou le nombre de personnes concernées.

D'un appel téléphonique à un entrepôt cloud

La mécanique compte parce qu'elle se répète dans presque toutes les campagnes de ShinyHunters. Le vishing contourne les contrôles techniques en ciblant les personnes : un attaquant se fait passer pour le support informatique, persuade un employé de lire un code à usage unique ou d'approuver une notification push, et hérite de l'identité de cet employé auprès du fournisseur d'identité. Une fois dans Okta, l'attaquant accède souvent à tout ce à quoi cette identité a droit, ici, les applications SaaS où résident les données sensibles de l'entreprise.

Snowflake et Salesforce occupent une place particulière dans ce scénario. Tous deux sont largement déployés, tous deux concentrent d'énormes volumes de données clients, et tous deux sont accessibles avec des identifiants volés si une organisation n'a pas ajouté d'authentification forte résistante au hameçonnage et de revues d'accès strictes. Les chercheurs en sécurité passent une bonne partie de l'année écoulée à avertir que les équipes de vol de données ont appris à sauter complètement le chiffrement des rançongiciels, à copier simplement les données hors des entrepôts cloud, puis à extorquer la victime en menaçant de les publier. ReliaQuest, qui a suivi la campagne, aurait noté que ShinyHunters utilisait des domaines leurres suivant le motif .claims qui nomment la cible.

ShinyHunters a déclaré à BleepingComputer avoir exigé 55 236 150 dollars et accordé à McKesson 72 heures pour répondre. Le groupe affirme que l'entreprise n'a jamais répondu.

Pourquoi la santé est frappée encore et encore

McKesson occupe le centre de la chaîne d'approvisionnement pharmaceutique américaine : elle distribue environ un tiers des médicaments sur ordonnance aux hôpitaux, pharmacies et cliniques, et exploite la franchise de pharmacies Health Mart. Cela en fait une cible riche pour des raisons qui dépassent largement son propre bilan : les données qu'elle détient combinent informations d'identité, détail clinique et dossiers financiers, exactement le profil que recherchent les attaquants pour l'extorsion comme pour la fraude en aval.

L'entreprise est aussi le dernier nom d'une série de fuites sanitaires attribuées à ShinyHunters ou à des groupes usant de tactiques similaires, qui incluraient selon les rapports Abbott Laboratories, Baxter International, Medtronic, DentaQuest et les systèmes hérités One Medical d'Amazon. Le schéma suggère une chaîne d'intrusion professionnalisée : identités bon marché, lacs de données cloud et levier fondé sur la publication, répétés à l'échelle industrielle contre un secteur qui tourne sur des systèmes hérités et des marges étroites.

Le jeu de données le plus précieux de la santé n'est pas un dossier individuel. C'est la capacité de relier identité, pathologie et ordonnance en une seule image d'une personne, et c'est précisément ce que détient un intermédiaire de distribution.

Le manuel d'extorsion est la vraie leçon

Le rançongiciel signifiait autrefois des fichiers verrouillés et une clé de déchiffrement. Le modèle ShinyHunters est plus simple et, du point de vue de l'attaquant, plus efficace : voler une copie, menacer de la publier, négocier en partant du principe que la plus grande crainte de la victime est réglementaire et réputationnelle, non opérationnelle. Le RGPD de l'Union européenne et les lois américaines de notification des violations transforment la publication en responsabilité concrète. C'est pourquoi le délai du groupe (et le silence apparent de McKesson) est l'élément à surveiller.

Il convient de préciser ce que « vol de données » signifie ici. Si le matériel exfiltré comprend des numéros de sécurité sociale, des numéros de Medicaid et des diagnostics détaillés, le préjudice se déploie sur des années : usurpation d'identité, fraude à la facturation médicale et hameçonnage très convaincant pouvant citer une ordonnance ou un rendez-vous réel. Contrairement à un numéro de carte bancaire, un diagnostic ne peut pas être réémis. Cette asymétrie rend les données de santé à la fois uniques en dangerosité et uniques en valeur.

Un scénario connu, exécuté à grande échelle

ShinyHunters n'est pas nouveau. Le groupe est lié depuis des années à des vols de données très médiatisés, et ses campagnes récentes se sont agrégées autour d'une formule reproductible : manipuler socialement une identité, pivoter vers un locataire SaaS et exfiltrer depuis une plateforme de données cloud. Le passage du rançongiciel chiffrant au pur vol-extorsion élimine la partie la plus difficile de la chaîne criminelle (maintenir et exploiter un outil de chiffrement et une infrastructure de négociation) tout en conservant l'essentiel du levier, car c'est la menace de publication qui fait réellement bouger les victimes.

L'entrepôt de données cloud est devenu la sortie privilégiée. En 2025, une vague de compromissions de comptes Snowflake a contraint des dizaines de grandes organisations à divulguer des vols de données, et les leçons de cette vague (imposer une authentification forte, restreindre l'accès réseau, auditer les comptes dormants et surveiller les volumes d'export inhabituels) sont les mêmes ici. Salesforce, de son côté, est le système d'enregistrement des relations clients et accumule souvent des détails bien plus sensibles que ne le pensent les équipes, y compris des notes de support et des communications. Quand un attaquant peut lire les deux, l'ensemble obtenu n'est pas la fuite d'un système, mais le profil d'une entreprise.

Un risque de second ordre reçoit moins d'attention : le marché des courtiers en données pour les enregistrements volés. ShinyHunters n'existe pas isolément, et les jeux de données de santé volés ont une longue vie dans les écosystèmes de fraude, même lorsqu'une rançon est payée ou qu'un site de fuite est fermé. C'est pourquoi les conseils habituels (geler son crédit, surveiller les facturations médicales inconnues, se méfier des communications citant de vrais détails personnels) restent pertinents longtemps.

L'horloge réglementaire tourne déjà

Le dépôt de McKesson auprès de la SEC est en soi un signal. Les entreprises cotées doivent divulguer les incidents de cybersécurité importants, et le langage de McKesson (« phase précoce », pas encore important) est la position de départ standard tant que le travail forensique se poursuit. Cette évaluation peut changer. Selon la règle américaine de notification des violations HIPAA, les personnes concernées doivent généralement être informées dans les 60 jours suivant la découverte d'une violation d'informations de santé protégées non sécurisées, et les procureurs généraux des États ont leurs propres délais, parfois plus courts, et leurs propres obligations de notification. Avec un jeu de données aussi vaste, l'exercice de notification seul sera gigantesque.

La violation intervient en outre dans une période d'attention réglementaire accrue à la cybersécurité de la santé, après une série d'attaques contre des fabricants de dispositifs médicaux, des groupes hospitaliers et des processeurs de réclamations. Régulateurs et législateurs demandent à plusieurs reprises pourquoi un secteur qui détient la catégorie la plus sensible de données personnelles a tant tardé à adopter l'authentification résistante au hameçonnage et la gouvernance des données cloud. L'affaire McKesson deviendra un point de données de plus dans ce débat.

Ce qu'il faut surveiller

Trois choses détermineront l'issue. D'abord, l'enquête de McKesson : si l'entreprise parvient à établir le nombre réel de personnes touchées et à entamer le processus de notification exigé par les lois des États et, potentiellement, par HIPAA. Ensuite, si les consignes « aucune action requise » tiennent ou sont révisées, ce langage a tendance à s'assouplir une fois le travail des cabinets forensiques terminé. Enfin, si le secteur traite cela comme un problème d'identité cloud plutôt que comme un problème McKesson. La victime précise changera; le scénario, non.

Se pose aussi la question du délai de la rançon. Les groupes d'extorsion passent généralement d'un délai manqué à des fuites partielles destinées à faire pression sur la victime et à prouver que les données sont réelles. La suite que donnera ShinyHunters et la réponse de McKesson façonneront la prochaine phase de l'affaire. Pour l'heure, la position de l'entreprise est que les opérations sont normales et que les clients n'ont pas besoin d'agir, une affirmation qu'on peut prendre au pied de la lettre, mais sur laquelle il ne faut pas se reposer sans suivre le dossier de près.