McKesson confirme un piratage, rançon de 55M$ exigée

McKesson Corporation, l'un des plus grands distributeurs de produits de santé et pharmaceutiques aux États-Unis, a déclaré enquêter sur un incident de cybersécurité après que le groupe d'extorsion ShinyHunters a affirmé avoir volé une quantité massive de données de patients. L'entreprise a révélé la faille dans un dépôt auprès de la Securities and Exchange Commission (SEC) américaine le 28 août 2026, trois jours après sa découverte.

Selon des chercheurs en sécurité, les attaquants ont obtenu l'accès via une campagne de vishing (hameçonnage vocal), se faisant passer pour le service d'assistance informatique de McKesson via le domaine frauduleux « mckesson[.]claims » afin d'inciter des employés à livrer leurs identifiants du système d'authentification unique Okta. Cet accès aurait permis au groupe d'extraire environ 1 téraoctet de données des environnements Salesforce et Snowflake de McKesson entre le 21 et le 25 août.

ShinyHunters affirme que les données volées représentent environ 284 millions de lignes — le groupe a lui-même précisé qu'il s'agit d'un décompte brut d'entrées et non de patients uniques — comprenant noms, adresses, dates de naissance, numéros de sécurité sociale, identifiants de patients et de Medicaid, diagnostics, médicaments, allergies, détails de rendez-vous et informations sur les médecins, ainsi que des données d'employés.

Le groupe a exigé 55 236 150 dollars sous 72 heures pour éviter la publication des fichiers, un délai que McKesson n'a pas respecté. « McKesson en est aux premiers stades de l'enquête sur un incident de cybersécurité impliquant des applications tierces ainsi qu'un accès non autorisé et une exfiltration de données », a déclaré l'entreprise, précisant avoir activé ses protocoles de réponse aux incidents et fait appel à des experts externes en cybersécurité. McKesson a indiqué ne pas encore avoir déterminé si l'incident est significatif pour ses résultats financiers.

ShinyHunters est lié à une série d'attaques de grande ampleur cette année visant des entreprises dépendantes des plateformes cloud Salesforce et Snowflake, dont des attaques récentes contre le Manchester Airports Group et le détaillant de vêtements Carhartt.