Cyberattaque McKesson : Millions De Dossiers Patients Volés

Et si le dossier le plus intime de votre vie, celui que vous confiez à un hôpital, à une pharmacie ou à un spécialiste, se retrouvait demain sur un forum clandestin ? Ce n’est plus une hypothèse de film. C’est précisément le scénario que décrit une affaire survenue fin août 2026 autour de McKesson, l’un des plus grands distributeurs pharmaceutiques des États-Unis. Des pirates affirment avoir emporté des millions de lignes de données patients. Derrière les communiqués prudents se dessine une question plus large : jusqu’où la santé numérique peut-elle encore croire que le cloud la protège vraiment ?

Quand un géant de la santé devient une cible trop facile

McKesson n’est pas une start-up obscure. C’est une entreprise texane qui achemine médicaments, dispositifs et technologies vers des milliers d’établissements. Par ricochet, elle stocke une masse considérable d’informations cliniques. Quand un tel acteur confirme qu’une intrusion a eu lieu dans plusieurs comptes hébergés dans le cloud, l’onde de choc dépasse le simple incident technique. Elle touche la confiance que les patients placent, souvent sans le savoir, dans toute une chaîne d’intermédiaires.

La société a reconnu, dans un message publié sur son site, que des attaquants avaient pénétré des environnements cloud plus tôt dans la semaine et avaient exfiltré des données. Elle a aussi prévenu ses clients d’une possible dégradation intermittente de service. Le directeur technologique, Francisco Fraga, a précisé que les informations concernées touchaient notamment les unités oncologie, multispecialty et médico-chirurgicales. Autrement dit : des patients souvent fragiles, suivis de près, dont le parcours de soins laisse une trace particulièrement sensible.

Ce que les pirates disent avoir pris

Le groupe ShinyHunters, déjà connu pour une série d’extorsions massives, a revendiqué l’opération auprès de plusieurs médias. Selon ses dires, l’accès n’est pas venu d’une faille logicielle spectaculaire, mais d’un classique encore redoutablement efficace : le phishing et l’ingénierie sociale. Plusieurs employés auraient été amenés à accorder eux-mêmes l’accès au réseau. Une fois à l’intérieur, les attaquants se seraient servis dans des environnements Snowflake et Salesforce hébergés dans le cloud.

Le butin décrit va bien au-delà d’une simple liste d’adresses e-mail. Noms, adresses postales, numéros de sécurité sociale, diagnostics, traitements, allergies, notes cliniques : le cocktail est celui que redoutent tous les responsables de conformité. Les pirates affirment avoir extrait des millions de lignes, sans pouvoir dire précisément combien de personnes distinctes sont concernées. Des données d’employés, dont des adresses personnelles, figureraient également dans le lot.

Cette vérification partielle change la nature du récit. Tant qu’une revendication reste abstraite, on peut encore parler de bluff. Dès qu’un média indépendant confirme ne serait-ce qu’une fraction des données, le doute bascule. L’entreprise, elle, refuse de chiffrer le nombre de personnes touchées et de commenter la demande de rançon. Une porte-parole, Kristina Chang, s’est contentée de rappeler que toutes les lignes d’activité continuaient de fonctionner et qu’aucune activité non autorisée n’était plus détectée.

Une rançon de 55 millions de dollars

D’après Bleeping Computer, qui a le premier relié l’incident à ShinyHunters, les attaquants auraient exigé 55 millions de dollars pour ne pas publier les fichiers. Le montant n’est pas anodin. Il dit deux choses à la fois. D’abord, que les pirates estiment la valeur de ces données suffisamment élevée pour justifier une somme spectaculaire. Ensuite, que le modèle économique de l’extorsion a changé : on ne chiffre plus seulement les serveurs, on menace de jeter au grand jour ce qu’il y a de plus privé.

McKesson n’a pas confirmé cette demande. Le silence n’est pas forcément un aveu, mais il laisse le champ libre aux spéculations. Dans ce type d’affaires, le calendrier compte autant que le contenu. Plus les jours passent sans démenti circonstancié, plus les patients, les hôpitaux clients et les assureurs s’impatientent. La communication de crise devient alors un second champ de bataille, presque aussi important que le confinement technique.

Pourquoi la santé attire autant les rançonneurs

Les données de santé ont une particularité que n’ont ni les mots de passe recyclés ni les cartes bancaires déjà renouvelées : elles ne se caduquent presque jamais. Un diagnostic d’oncologie, une allergie médicamenteuse, une note de suivi restent pertinents des années plus tard. Pour un fraudeur, c’est une matière première durable. Pour un maître chanteur, c’est un levier psychologique redoutable. Personne n’a envie de voir le détail de sa maladie circuler.

Ces derniers mois, la liste des cibles s’est allongée avec une régularité inquiétante. Boston Scientific a vu une large part de son réseau tomber hors service. Stryker avait déjà subi un épisode où des outils internes avaient servi à effacer à distance des milliers de postes. Abbott Laboratories, Medtronic, CareCloud, TriZetto : autant de noms qui rappellent que l’écosystème n’est plus seulement attaqué sur ses hôpitaux, mais sur toute sa périphérie industrielle et logicielle.

• Les dossiers cliniques se vendent cher parce qu’ils permettent l’usurpation d’identité médicale.
• Les notes de médecins offrent un contexte que les bases administratives n’ont pas.
• Les environnements cloud mal segmentés multiplient les surfaces d’exfiltration.
• Le chantage à la publication pèse plus lourd que le seul chiffrement des systèmes.

ShinyHunters n’en est pas à son premier coup. Le groupe a déjà revendiqué des incidents chez One Medical, filiale d’Amazon, et chez DentaQuest. La récidive dessine un mode opératoire : viser des entreprises qui agrègent beaucoup de patients, entrer par la porte humaine plutôt que par un exploit rare, puis monétiser le silence. Ce n’est pas de la science-fiction. C’est une industrie parallèle, méthodique, qui a appris à lire les organigrammes autant que les configurations cloud.

Le maillon faible n’est pas toujours le pare-feu

On aime raconter les cyberattaques comme des duels entre génies du code. La réalité, plus souvent, ressemble à une conversation trop confiante. Un employé reçoit un message crédible, clique, autorise une application, partage une session. Dans un groupe aussi vaste que McKesson, le nombre de personnes ayant un accès utile aux outils cloud suffit à créer une statistique défavorable. Il suffit d’un seul « oui » mal placé.

Les plateformes mises en cause, Snowflake et Salesforce, ne sont pas des curiosités. Elles sont devenues le système nerveux de nombreuses directions commerciales, médicales et analytiques. Leur puissance est aussi leur risque : centraliser, c’est offrir un point de bascule. Si les droits sont trop larges, si les jetons d’accès circulent trop longtemps, si la surveillance des connexions inhabituelles reste cosmétique, l’exfiltration peut durer assez longtemps pour devenir massive.

Il serait injuste de réduire l’affaire à une négligence isolée. Les organisations de cette taille jonglent avec des milliers de comptes, des prestataires, des fusions, des outils hérités. La complexité elle-même devient une vulnérabilité. Plus le système est vaste, plus il est difficile de savoir qui peut voir quoi, et surtout qui peut extraire quoi sans déclencher d’alerte lisible.

Ce que cela change pour les patients

Pour une personne suivie en oncologie, la fuite n’est pas un concept juridique. C’est la crainte que le détail d’un traitement, d’une rechute ou d’une prescription se retrouve exploité. L’usurpation d’identité médicale existe. Elle permet d’obtenir des soins, des médicaments, parfois de créer des dettes au nom d’autrui. Elle peut aussi fausser un dossier et compliquer de vrais soins plus tard.

Les adresses personnelles et les numéros de sécurité sociale ouvrent d’autres portes : crédit, administratif, harcèlement. Quand s’y ajoutent des notes cliniques, le préjudice n’est plus seulement financier. Il devient réputationnel et émotionnel. On peut changer un mot de passe. On ne change pas aussi facilement le récit d’une maladie.

McKesson n’a pas encore dit combien de personnes étaient concernées. Ce vide d’information est en soi une source d’angoisse. Les patients des établissements clients se demandent s’ils font partie du périmètre. Les professionnels de santé se demandent ce qu’ils devront expliquer. Les autorités de protection des données, de leur côté, observeront le calendrier des notifications obligatoires.

Une séquence qui n’est plus isolée

L’affaire McKesson s’inscrit dans une série. CareCloud et TriZetto ont chacun annoncé des incidents touchant plus de trois millions de patients. Ces chiffres, même imparfaits, montrent que le seuil du « gros dossier » s’est banalisé. On ne parle plus de quelques milliers de lignes oubliées sur un serveur mal configuré. On parle de bases entières, assez riches pour alimenter des marchés noirs pendant des mois.

Les fabricants de dispositifs médicaux ne sont pas épargnés. Quand le réseau d’un industriel tombe, ce n’est pas seulement la messagerie interne qui s’arrête. Ce sont des chaînes de support, des mises à jour, parfois des outils de diagnostic à distance. L’attaque contre Boston Scientific, survenue la semaine précédant les révélations McKesson, a rappelé que la disponibilité elle-même pouvait devenir une arme. Chez Stryker, l’usage détourné d’outils internes pour effacer des postes avait déjà illustré une autre tactique : se servir de la maison contre elle-même.

Lire ce tableau, ce n’est pas collectionner les faits divers. C’est voir un secteur entier sous pression simultanée : confidentialité, disponibilité, intégrité. Les trois piliers classiques de la sécurité sont attaqués en même temps, parfois par les mêmes familles de groupes.

Cloud, Snowflake, Salesforce : la concentration du risque

Le cloud a promis de l’agilité. Il l’a tenue. Il a aussi concentré des trésors d’information derrière quelques identifiants. Snowflake brille pour l’analytique. Salesforce brille pour la relation et le suivi. Ensemble, ils deviennent le lieu où se croisent données commerciales, parcours de soins et historiques. Si un attaquant y entre avec des droits suffisants, il n’a plus besoin de cartographier vingt systèmes hérités. Il trouve déjà la matière structurée.

La leçon n’est pas de fuir ces outils. Elle est de cesser de les traiter comme des coffres magiques. Un entrepôt de données n’est sûr que si les accès sont minimaux, journalisés, révocables, et si les extractions volumineuses déclenchent une alerte humaine aussi bien qu’automatique. Trop d’organisations découvrent après coup que des comptes de service dormaient avec des privilèges excessifs, ou que des intégrations tierces ouvraient des portes latérales.

La segmentation compte autant que le chiffrement. Chiffrer au repos ne sert à rien si l’attaquant s’authentifie comme un utilisateur légitime et interroge la base avec ses propres clés de session. C’est précisément le scénario que favorise l’ingénierie sociale : on n’enfonce pas la porte, on se fait remettre les clés.

Ce que les entreprises de santé peuvent encore faire

La parade n’a rien de miraculeux. Elle commence par admettre que l’humain reste le premier vecteur. Les campagnes de sensibilisation fades, une fois par an, ne suffisent plus. Il faut des simulations fréquentes, des scénarios adaptés aux métiers réels, et surtout des procédures qui permettent de signaler un doute sans humiliation. Un employé qui ose dire « ce message m’a paru étrange » vaut mieux qu’un tableau de bord impeccable après l’exfiltration.

• Réduire les droits d’accès au strict nécessaire, y compris pour les comptes techniques.
• Surveiller les exports massifs depuis les entrepôts cloud.
• Imposer une authentification résistante au phishing, pas seulement un code SMS.
• Cartographier les données de santé réellement stockées chez chaque prestataire.
• Préparer des notifications patients avant d’en avoir besoin.

La cartographie des données est souvent le chantier le plus négligé. On sait qu’on a « des informations de santé ». On sait moins dans quel tenant Snowflake elles vivent, quels champs Salesforce les recopient, quels sous-traitants en reçoivent une copie pour de l’analyse. Sans cette carte, on ne peut ni mesurer l’impact d’une brèche ni promettre un confinement sérieux.

Le plan de communication doit être écrit avant la crise. Attendre d’avoir « toutes les réponses » revient souvent à laisser les pirates raconter l’histoire les premiers. Les patients comprennent qu’une enquête prend du temps. Ils comprennent moins le silence total sur le type de données, le périmètre métier ou les mesures immédiates.

Le prix réel d’une fuite médicale

On parle trop vite des amendes. Elles existent, et elles peuvent être lourdes. Mais le coût le plus durable se joue ailleurs : perte de contrats hospitaliers, clauses de responsabilité avec les clients, assurances cyber qui se renchérissent, temps passé par les équipes à reconstruire la confiance. Une entreprise comme McKesson vit de sa capacité à rester un partenaire fiable dans la chaîne du médicament. Un doute persistant sur la protection des dossiers peut peser plus longtemps qu’un week-end de perturbation technique.

Il y a aussi un coût collectif. Chaque grosse fuite normalise l’idée que les dossiers médicaux circulent. Cette banalisation est dangereuse. Elle fatigue le public. Elle pousse certains à baisser les bras, d’autres à dissimuler des informations à leur médecin par peur de la fuite. Or un patient qui omet une allergie ou un traitement antérieur pour se protéger d’un pirate met sa santé en danger. La cybersécurité, ici, n’est plus un sujet d’informatique. Elle devient un sujet clinique.

Cette phrase rassure sur le présent opérationnel. Elle ne dit rien du destin des fichiers déjà copiés. C’est toute l’ambiguïté des attaques par exfiltration : on peut refermer la porte après le départ du butin. Les données, elles, ne rentrent pas.

ShinyHunters, portrait d’une méthode plus que d’un mythe

Donner un nom flamboyant à un groupe ne doit pas masquer la banalité de ses recettes. ShinyHunters a bâti sa réputation sur le volume et la répétition. Phishing, comptes cloud, bases prêtes à l’emploi, capture d’écran pour prouver le vol, rançon pour éviter la publication. Le théâtre est moderne. La mécanique est ancienne : menacer de honte pour obtenir de l’argent.

Le groupe se présente parfois comme plus « professionnel » que les rançonneurs qui chiffrent les hôpitaux au point de stopper les soins. L’argument est glaçant. Voler des dossiers sans éteindre les machines reviendrait, selon cette logique, à une forme de retenue. Pour les patients, la distinction est mince. Qu’un bloc opératoire s’arrête ou qu’un diagnostic se retrouve en ligne, le sentiment de violation reste entier.

Les médias qui reçoivent des extraits se retrouvent dans une position délicate. Vérifier, c’est informer. Reproduire trop de détails, c’est amplifier le levier des pirates. Le travail de recoupement avec des registres publics, tel qu’il a été évoqué, reste la voie la plus responsable : confirmer l’existence du vol sans offrir un mode d’emploi.

Régulation, notification, zone grise

Aux États-Unis comme en Europe, les textes imposent des notifications dans des délais contraints lorsqu’une violation de données de santé est avérée. Le diable se niche dans le diagnostic juridique : à partir de quand une exfiltration « possible » devient-elle une violation « confirmée » ? Combien de temps une entreprise peut-elle enquêter avant de parler clairement aux personnes concernées ?

Cette zone grise profite rarement aux patients. Elle permet parfois d’éviter une panique injustifiée. Elle permet aussi de gagner du temps au détriment de la prévention individuelle. Faire surveiller son crédit, surveiller ses relevés de soins, signaler une usurpation : tout cela suppose de savoir qu’on est potentiellement exposé. Sans chiffre, sans typologie précise des données, le conseil reste abstrait.

Les autorités devront aussi regarder la chaîne de responsabilité. McKesson n’est pas le cabinet du médecin. C’est un intermédiaire puissant. Plus les données voyagent dans la chaîne d’approvisionnement et de services, plus il devient difficile pour un patient de savoir qui détient vraiment son histoire clinique. La transparence des flux de données n’est plus un luxe de conformité. C’est une condition de dignité.

Ce que cette affaire dit de la santé numérique de demain

On promet depuis des années un dossier médical plus fluide, plus partagé, plus intelligent. L’intelligence artificielle clinique a besoin de données riches. La coordination des soins a besoin d’interopérabilité. Tout cela est souhaitable. Mais chaque nouveau tuyau est aussi une nouvelle surface. Si l’architecture de confiance ne progresse pas au même rythme que l’architecture d’échange, les ShinyHunters de demain n’auront même plus besoin d’être très inventifs.

La tentation sera de répondre par encore plus de technologie : davantage d’agents de détection, davantage de coffres-forts, davantage de tokens. Utile, à condition de ne pas oublier la gouvernance. Qui a le droit d’extraire un million de lignes ? Qui valide un nouvel accès prestataire ? Combien de temps un jeton reste-t-il valide après le départ d’un salarié ? Ces questions sont moins glamour qu’un modèle de langage médical. Elles évitent pourtant que le modèle s’entraîne, un jour, sur des données déjà vendues ailleurs.

Il faudra aussi parler d’éthique de la rétention. Garder indéfiniment des notes cliniques « au cas où » augmente le butin potentiel. Minimiser, anonymiser quand c’est possible, séparer les identifiants des contenus cliniques : ces principes anciens reprennent une actualité brutale. La donnée utile au soin n’est pas forcément la donnée utile à l’attaquant, à condition d’avoir conçu la distinction dès le départ.

Comment lire les prochaines heures et les prochains mois

Trois signaux mériteront d’être suivis. Premier signal : McKesson publiera-t-il un périmètre chiffré, même approximatif ? Sans cela, le récit restera aux mains des pirates. Deuxième signal : des fichiers apparaîtront-ils réellement sur des forums, ou la menace servira-t-elle surtout de pression ? Troisième signal : d’autres acteurs de la distribution ou de l’oncologie de ville annonceront-ils des événements similaires, signe que la campagne vise un secteur plus qu’une entreprise ?

Les établissements clients, de leur côté, devront interroger leurs contrats. Quelles garanties d’audit ? Quels délais d’alerte ? Quelles responsabilités en cas de réutilisation des données ? Ces clauses, souvent reléguées en annexe, deviennent soudain le cœur du sujet. La cybersécurité d’un hôpital ne s’arrête plus à son propre firewall. Elle dépend de chaque maillon qui touche un dossier.

Les patients, enfin, n’ont pas à devenir des experts. Ils peuvent toutefois demander si leurs données transitent par des plateformes tierces, signaler toute communication médicale inattendue, et traiter avec suspicion les messages qui jouent sur l’urgence. Ce n’est pas de la paranoïa. C’est de l’hygiène minimale dans un monde où le dossier clinique a une cote sur un marché parallèle.

Une confiance à reconstruire, pas à décréter

On peut répéter que les systèmes fonctionnent encore, que l’activité commerciale continue, que l’intrusion est close. Tout cela peut être vrai et insuffisant à la fois. La confiance médicale se joue dans l’intime. Elle se joue dans le cabinet, dans la chambre, dans le silence d’un résultat que l’on n’aimerait partager avec personne d’autre que son soignant. Quand ce silence est rompu par une capture d’écran envoyée à un journaliste, quelque chose de plus vaste que le système d’information se fissure.

McKesson n’est peut-être que le nom du moment. D’autres suivront si les mêmes recettes continuent de fonctionner : trop d’accès, trop de données centralisées, trop peu de friction pour extraire, trop de lenteur pour raconter clairement ce qui s’est passé. La santé numérique n’a pas à renoncer à ses promesses. Elle a à admettre que la confidentialité n’est plus un livrable secondaire. C’est le produit lui-même.

Au bout du compte, l’histoire n’est pas seulement celle d’un groupe de pirates et d’un distributeur texan. C’est celle d’une société qui a numérisé le corps et la maladie plus vite qu’elle n’a appris à en garder les clés. Les millions de lignes évoquées par ShinyHunters, qu’elles concernent finalement deux cent mille ou plusieurs millions de personnes, posent la même question. Combien de temps encore accepterons-nous que le dossier le plus personnel de notre existence voyage dans des nuages dont nous ne connaissons ni les portes ni les gardiens ?

La réponse ne viendra pas d’un communiqué. Elle viendra de choix concrets : moins de privilèges, plus de preuves, plus de parole nette envers les patients, et une exigence nouvelle vis-à-vis de chaque intermédiaire qui touche un diagnostic. Tant que ces choix resteront optionnels, d’autres captures d’écran circuleront. Et d’autres lecteurs se demanderont, comme aujourd’hui, si leur nom figure déjà dans le lot.