McKesson a découvert l’incident le 25 août 2026. Dans son avis de violation du 8 septembre, l’entreprise indique que des comptes professionnels d’employés ont été ciblés entre le 20 et le 25 août, avec un accès non autorisé à des applications tierces et une exfiltration de données. Le 21 septembre, McKesson a précisé le périmètre : l’exposition confirmée concerne certaines applications utilisées pour Oncology & Multispecialty, tandis que les données liées à Medical-Surgical portent principalement sur des coordonnées professionnelles et des commandes.
L’entreprise n’a pas publié le nombre total de personnes affectées. ShinyHunters a revendiqué le vol de 284 millions de dossiers, mais ce volume n’a pas été confirmé par McKesson et ne correspond pas à un décompte établi de personnes. Voici ce qui est confirmé, ce que l’avis décrit comme potentiellement concerné et ce qui reste inconnu.
Ce que McKesson a confirmé
Le formulaire 8-K déposé auprès de la SEC confirme que McKesson a découvert un incident de cybersécurité le 25 août. L’entreprise a ensuite indiqué qu’un accès non autorisé à certaines applications tierces avait entraîné l’exfiltration de données concernant une partie de ses activités. Les opérations de distribution ont continué pendant l’enquête.
La mise à jour du 21 septembre resserre le périmètre communiqué : certaines applications d’Oncology & Multispecialty concernent un sous-ensemble de clients. Pour Medical-Surgical, les informations impliquées sont principalement des coordonnées professionnelles et des données de commande. McKesson a dit n’avoir relevé, à cette date, aucun indice que North American Pharmaceutical Distribution ou CoverMyMeds soient concernés.
Quelles données peuvent être concernées
L’avis de violation du 8 septembre indique que les informations potentiellement exfiltrées peuvent comprendre des coordonnées, des identifiants de patient et des dates de naissance. Selon les personnes et les dossiers concernés, il peut aussi s’agir de données d’assurance maladie, d’informations médicales, de facturation, de paiement ou d’éléments servant à vérifier l’identité.
Cette liste décrit des catégories potentiellement impliquées, pas les champs présents dans chaque dossier. McKesson n’a pas annoncé de total consolidé de personnes touchées. Les personnes potentiellement concernées sont invitées à se fier aux notifications officielles de McKesson ou de leur prestataire de soins, et non à extrapoler à partir de la liste de données publiée.
Ce que revendique ShinyHunters
ShinyHunters a revendiqué l’attaque et affirmé avoir obtenu environ 284 millions de lignes de données. Le groupe a également décrit une méthode d’intrusion, mais ces détails ne sont pas des conclusions publiées de l’enquête de McKesson. Le chiffre concerne une revendication de dossiers, pas un nombre vérifié de patients ou de personnes uniques.
McKesson a confirmé l’accès non autorisé et l’exfiltration, mais n’a pas validé le volume revendiqué, les détails techniques annoncés par le groupe ni la liste complète des personnes affectées. Il faut donc distinguer la confirmation d’une exfiltration de la preuve de chaque élément avancé par l’attaquant.
Mesures utiles pour les patients et les organisations
Si vous recevez un avis, vérifiez son authenticité en passant par les coordonnées publiées sur le site officiel de McKesson ou par votre prestataire de soins. Suivez les consignes de surveillance ou de protection d’identité indiquées dans cet avis. Méfiez-vous des appels ou messages qui utilisent des détails médicaux pour demander un mot de passe, un code de vérification ou un paiement.
Pour les organisations, l’incident rappelle l’importance d’inventorier les applications connectées, d’identifier les propriétaires et les permissions accordées, et de prévoir comment révoquer rapidement les sessions et accès concernés. Notre guide de cybersécurité et de suivi NIS2 aide à structurer les contrôles organisationnels ; le guide de partage des mots de passe en équipe couvre la gestion des identifiants partagés.
Pourquoi les applications tierces compliquent la réponse
Les applications utilisées par les équipes peuvent avoir leurs propres propriétaires, journaux, permissions et sessions. Les comptes professionnels ciblés dans l’incident McKesson rappellent qu’une organisation doit pouvoir relier chaque accès à un responsable, examiner les connexions et couper les sessions sans interrompre inutilement les opérations.
La réponse ne consiste pas à supposer qu’une intégration précise est en cause. Elle consiste à documenter les connexions autorisées, limiter les permissions au besoin réel et vérifier toute demande inhabituelle par un second canal. Pour mieux comprendre les risques liés aux identifiants volés, consultez aussi notre guide sur les infostealers.
Le lien avec Soclyde
Soclyde ne contrôle pas les permissions des applications tierces de McKesson et ne peut ni confirmer ni annuler l’exposition décrite. Son rôle est plus limité : conserver les mots de passe dans un coffre chiffré local et aider une équipe à éviter leur réutilisation. Pour les accès partagés, la fonctionnalité de partage Soclyde permet de réduire les copies dispersées, sans remplacer la révocation des sessions dans chaque service.
Notre article sur l’authentification sans mot de passe explique également pourquoi protéger la connexion ne suffit pas à contrôler les sessions et applications déjà autorisées.
À retenir
McKesson a confirmé une exfiltration depuis certaines applications tierces et a précisé le périmètre le 21 septembre. Les données médicales potentiellement impliquées sont décrites dans l’avis de violation, mais le nombre total de personnes concernées n’est pas public. Les 284 millions de dossiers restent une revendication de ShinyHunters, pas un bilan confirmé. Les personnes concernées doivent suivre les avis officiels ; les organisations doivent inventorier et pouvoir révoquer leurs accès tiers.
