La fuite de données de McKesson liée à 6,4 millions d’adresses e-mail uniques

McKesson enquête sur une cyberattaque au cours de laquelle une partie non autorisée a accédé à ses systèmes et exfiltré des données. Les premières conclusions indiquent que des informations concernant certains clients pourraient avoir été dérobées. L’entreprise n’a pas encore établi combien de personnes ont été touchées ni si l’incident aura un impact financier significatif.

Dans une mise à jour publiée le 8 septembre 2026, McKesson a indiqué que les informations potentiellement volées pourraient inclure des noms, des adresses personnelles et électroniques, des numéros de téléphone, des numéros d’identification de patients et des dates de naissance. L’entreprise a également déclaré que les données pourraient contenir d’autres informations médicales ou liées à l’identité, bien que son examen ne soit pas terminé.

L’ampleur de l’incident commence à se préciser. Troy Hunt, de HaveIBeenPwned, a indiqué que les données prétendument dérobées à McKesson contenaient 6,4 millions d’adresses e-mail uniques. Ces adresses provenaient apparemment de campagnes marketing, de patients, d’employés et d’autres personnes. Ce chiffre ne permet pas d’établir que 6,4 millions de patients ont été touchés, et McKesson n’a pas publié de décompte définitif des personnes concernées.

Ce que McKesson a divulgué

McKesson a annoncé l’incident pour la première fois le 28 août, après avoir détecté l’activité le 25 août, selon un document déposé auprès de la Securities and Exchange Commission des États-Unis. L’entreprise a déclaré que l’événement impliquait des applications tierces, un accès non autorisé et l’extraction de données.

L’enquête vise à déterminer comment les attaquants sont entrés, quelles informations ils ont obtenues et quelle est l’ampleur totale de l’activité. McKesson a fait appel à des spécialistes externes de la cybersécurité, activé ses procédures de réponse aux incidents et ajouté des mesures destinées à prévenir une récidive. L’entreprise surveille également ses systèmes, internet et d’autres sources à la recherche de signes liés à l’attaque.

L’évaluation préliminaire de l’entreprise pointe vers des informations associées à un sous-ensemble de clients de ses divisions Oncology & Multispecialty et Medical-Surgical. McKesson a déclaré que les mesures prises pour bloquer tout nouvel accès semblaient avoir fonctionné, aucune activité non autorisée supplémentaire n’ayant été détectée à ce stade.

Les activités se sont poursuivies. Dans une mise à jour publiée le 29 août, McKesson a indiqué que ses clients pouvaient toujours passer des commandes, que les centres de distribution restaient ouverts et que les produits continuaient de circuler dans son réseau. L’entreprise a toutefois averti que les systèmes pourraient connaître des dégradations intermittentes et que les activités commerciales pourraient être affectées. Elle a déclaré que les clients n’avaient pour le moment aucune mesure à prendre et qu’elle ne déconnectait pas de manière proactive les systèmes de son environnement.

Les affirmations concernant les dossiers volés

Le groupe d’extorsion ShinyHunters a revendiqué la responsabilité de l’attaque et a inscrit McKesson sur son site de fuite de données. Le groupe a déclaré avoir obtenu 284 millions de dossiers contenant des données de patients. Ce nombre correspond à des lignes brutes de données plutôt qu’à un nombre confirmé de patients uniques ; il ne peut donc pas être considéré comme le nombre de personnes exposées.

BleepingComputer, cité par HIPAA Journal, a indiqué avoir été en contact avec le groupe et qu’environ un téraoctet de données aurait été extrait entre le 21 et le 25 août 2026. ShinyHunters aurait exigé plus de 55 millions de dollars.

Le groupe a affirmé que les données comprenaient notamment des noms, des coordonnées, des numéros de sécurité sociale, des dates de naissance, des numéros de dossiers médicaux, des numéros Medicaid, des informations sur les médicaments et les allergies, des diagnostics et des détails de rendez-vous. Les données semblent être liées à l’environnement Salesforce et à Snowflake de McKesson. McKesson n’a pas présenté ces affirmations comme un compte rendu achevé et vérifié de la violation ; son examen est toujours en cours.

Pourquoi l’incident est important

McKesson est une grande entreprise cotée en bourse du secteur de la santé et de l’industrie pharmaceutique. Elle fournit des médicaments et des produits médico-chirurgicaux aux hôpitaux, aux systèmes de santé, aux pharmacies et aux cabinets médicaux, et propose également des services en oncologie et des technologies liées aux prescriptions. Une violation touchant ses systèmes suscite donc des inquiétudes qui vont au-delà des simples coordonnées, notamment parce que les données signalées pourraient inclure des informations de santé protégées.

ShinyHunters a déjà ciblé des organisations de santé au moyen de vols de données et d’extorsions. Parmi les victimes qu’il a précédemment revendiquées figurent Medtronic, Abbott Laboratories, iRhythm, AdaptHealth et DentaQuest. Le groupe a également revendiqué la responsabilité d’un incident distinct concernant Baxter International ces derniers jours.

McKesson n’a pas officiellement identifié les attaquants. L’entreprise n’a pas non plus déterminé si l’incident était significatif au regard des obligations de déclaration financière. Son enquête et son examen des données devront établir quels dossiers étaient concernés, à combien de personnes ils se rapportent et si d’autres communications ou mesures sont nécessaires.