Le géant pharmaceutique McKesson confirme le vol de 284 millions d’enregistrements patients par le groupe ShinyHunters, incluant diagnostics, traitements et données personnelles. Cette combinaison explosive expose les victimes à des fraudes médicales ultra-ciblées et à l’usurpation d’identité, dans un contexte d’escalade des cyberattaques contre le secteur santé américain.
McKesson : les données médicales de millions de patients américains volées
By
Last modified on 1 septembre 2026 15h03
Le 25 août 2026, McKesson Corporation, géant de la distribution pharmaceutique basé au Texas et responsable d'un tiers des médicaments sur ordonnance en Amérique du Nord, a détecté une intrusion majeure dans ses systèmes cloud. Le groupe de cybercriminels ShinyHunters a revendiqué le vol de 284 millions d'enregistrements, incluant des informations personnelles et médicales comme noms, adresses, numéros de sécurité sociale, diagnostics, traitements et allergies. Ces données exposent chaque victime à des escroqueries ciblées d'une grande précision.
Données médicales et personnelles : un atout pour les escrocs
Les criminels possédant à la fois l'identité complète et le dossier médical d'un patient peuvent orchestrer des fraudes très convaincantes. D'après SecurityWeek, les experts en sécurité mettent en garde : « La combinaison de ces données rend les personnes vulnérables aux escroqueries les plus crédibles. Les malfaiteurs peuvent se faire passer pour des entités légitimes comme des pharmacies, assureurs ou professionnels de santé pour légitimer leurs demandes. »
Informations médicales sensibles exposées
Les données volées concernent particulièrement les unités Oncologie & Multispécialités et Médico-chirurgicales de McKesson. Ces fichiers incluent des informations médicales critiques telles que diagnostics, traitements, allergies et notes cliniques détaillées, révélant l'état de santé des patients. Selon TechCrunch, environ un téraoctet de données a été exfiltré entre le 21 et le 25 août 2026.
Exploitation criminelle : usurpation d'identité et fraudes ciblées
Avec ces données, les fraudeurs peuvent contacter une victime en mentionnant son traitement ou son médecin, rendant l'usurpation indétectable. Ils peuvent aussi créer des comptes médicaux, obtenir des médicaments ou facturer des actes à l'assurance de la victime.
Risques pour les patients affectés
McKesson n'a pas précisé le nombre exact de patients touchés, mais ShinyHunters affirme détenir 284 millions d'enregistrements. Par comparaison, des fuites récentes chez CareCloud et TriZetto ont chacune concerné plus de 3 millions de patients. L'ampleur de la fuite chez McKesson pourrait affecter des dizaines de millions de personnes.
Fraudes santé et usurpation d'identité
Les victimes peuvent recevoir de faux appels de pharmacies ou d'assureurs demandant des mises à jour bancaires. Ces tentatives sont rendues crédibles par la connaissance précise des traitements. Les personnes âgées sous traitements multiples sont particulièrement vulnérables.
Conséquences de l'usurpation d'identité médicale
L'usurpation permet aux criminels d'accéder à des services de santé au nom d'autrui, affectant la qualité des soins en polluant les dossiers médicaux de la victime avec de fausses informations.
Discrimination et impact psychosocial
La divulgation de diagnostics sensibles peut entraîner des discriminations dans l'emploi ou l'assurance et générer stress et anxiété chez les patients, surtout ceux atteints de pathologies stigmatisantes.
Cyberattaques dans le secteur santé américain
L'attaque contre McKesson s'inscrit dans une série d'intrusions depuis début 2026, ciblant les infrastructures critiques du secteur santé, attirées par la valeur des données médicales et la capacité financière des établissements à payer des rançons.
Chronologie des attaques de 2026
En 2026, Stryker, Abbott Laboratories, Boston Scientific, CareCloud et TriZetto ont subi des violations majeures. McKesson représente la fuite la plus importante documentée cette année. ShinyHunters exige 55 millions de dollars de rançon avant le 1er septembre sous peine de divulguer les données volées.
Valeur des données médicales
Les dossiers médicaux valent jusqu'à dix fois plus que les données bancaires sur le marché noir. Ils sont exploitables pendant des années, ce qui en fait une cible de choix pour les cybercriminels. L'attaque contre McKesson a utilisé des techniques de vishing pour compromettre des comptes employés, accédant ainsi aux plateformes cloud.
Comment se protéger ?
Face à cette violation, les patients doivent rester vigilants et utiliser les recours offerts. McKesson a indiqué que les services fonctionnent normalement et offre des mesures de protection aux personnes concernées.
Mesures de surveillance et de protection
McKesson devrait proposer aux victimes un service gratuit de surveillance de crédit pour détecter les utilisations frauduleuses. Il est conseillé de geler son crédit auprès des principales agences pour bloquer les ouvertures de comptes non autorisées.
Détection des fraudes
Évitez de donner des informations bancaires par téléphone et vérifiez l'identité des interlocuteurs. Surveillez vos relevés d'assurance et de banque pour détecter des anomalies.
Droits des patients et recours légaux
La loi HIPAA impose une notification aux patients dans les 60 jours suivant une violation. Les victimes peuvent porter plainte et participer à des recours collectifs contre McKesson.
En résumé : La fuite chez McKesson révèle la vulnérabilité du secteur santé face aux cyberattaques. La vigilance, la surveillance proactive et les recours légaux restent les meilleures défenses pour les victimes.