Consultant conformité & protection des données
McKesson : 284 millions d’enregistrements revendiqués, et pas une seule faille logicielle — les 5 actions que j’impose désormais en PME
TL;DR
- • McKesson a confirmé un incident découvert le 25 août 2026 ; ShinyHunters revendique 284 millions d’enregistrements de patients.
- • La chaîne d’attaque ne contient aucune faille logicielle : hameçonnage vocal → comptes SSO Okta → Salesforce et Snowflake.
- • Nuance à citer correctement : 284 millions d’enregistrements, pas de personnes. Un patient apparaît sur plusieurs lignes.
- • Le scénario qui vous vise ensuite : la fraude au changement de RIB, crédible parce qu’elle cite de vraies données.
- • 5 actions sans achat d’outil, dont la moins chère et la plus efficace : écrire la procédure de réinitialisation de mot de passe.
Le titre est tombé en fin de semaine dernière et il a la sobriété des mauvaises nouvelles bien documentées : « McKesson discloses breach after ShinyHunters claims patient data theft ». Le distributeur pharmaceutique et de santé américain a confirmé un incident de cybersécurité découvert le 25 août 2026, tandis que le groupe d’extorsion ShinyHunters revendique le vol de 284 millions d’enregistrements de patients.
Je pourrais m’arrêter là, et cet article serait une chronique de plus sur une fuite américaine sans conséquence directe pour une PME française. Ce n’est pas mon avis, et pour une raison précise : la chaîne d’attaque décrite ne comporte aucune faille logicielle. Elle est entièrement reproductible chez vous, cette semaine, avec les mêmes outils que vous utilisez déjà.
La chaîne d’attaque, étape par étape
Selon les analyses publiées, ShinyHunters a procédé par hameçonnage vocal — le vishing, c’est-à-dire l’appel téléphonique — pour compromettre les comptes d’authentification unique Okta de plusieurs salariés. Avec ces accès légitimes en main, le groupe a ensuite atteint les environnements Salesforce et Snowflake de l’entreprise.
Relisez cette phrase en cherchant la vulnérabilité technique. Il n’y en a pas. Pas de zéro-day, pas de serveur non corrigé, pas de configuration exposée sur Internet. Il y a des gens que l’on a appelés au téléphone, et un système d’authentification unique qui a fonctionné exactement comme prévu, pour la mauvaise personne.
De l’appel téléphonique à l’entrepôt de données
Notre avis d’expert nº 1
L’authentification unique est un excellent contrôle de sécurité et elle a un effet secondaire que peu de dirigeants ont intégré : elle transforme un compte compromis en accès à tout le système d’information. C’est le compromis assumé du mécanisme. Il n’est acceptable qu’à une condition, et cette condition est un second facteur qui résiste à l’hameçonnage. Un code à six chiffres, une notification à valider, un SMS : tout cela se contourne au téléphone en quelques minutes par quelqu’un de préparé. Une clé physique ou une passkey, non.
Ce que contiennent les données revendiquées
Le périmètre annoncé est large, et il dépasse largement le cadre médical habituel : identité et coordonnées complètes, numéros de sécurité sociale, identifiants de patients et numéros de dossiers médicaux, informations médicales — pathologies et diagnostics, allergies, traitements, handicaps — ainsi que des données particulièrement sensibles : soins palliatifs, maladies en phase terminale, causes de décès, éléments d’autopsie et orientation sexuelle.
Une précision de méthode s’impose ici, parce qu’elle a été relevée dès les premières analyses : le chiffre de 284 millions correspond à un décompte brut d’enregistrements, c’est-à-dire de lignes, et non à un nombre de personnes uniques. Un même patient peut apparaître sur plusieurs lignes.
Enregistrements et personnes : une nuance qui change tout
Cette nuance n’atténue rien à la gravité de l’incident. Elle importe pour une autre raison, très pratique : si vous relayez cette actualité en interne pour obtenir un budget ou faire passer une mesure, citez le chiffre correctement. Un dirigeant qui découvre trois mois plus tard qu’on lui a présenté une estimation gonflée cesse d’écouter les alertes suivantes. Et la suivante sera peut-être la vôtre.
Vos comptes à privilèges résisteraient-ils à un appel téléphonique ?
Nous testons la chaîne complète — procédure de réinitialisation, robustesse du second facteur, plafonds d’export sur vos applications métier — et livrons le plan de correction priorisé. Téléphone : +33 6 32 64 24 80.
Discutons-en →Pourquoi cet incident concerne une PME française
L’objection habituelle est légitime : McKesson est un géant américain, une PME de quarante personnes n’a ni Okta, ni Snowflake, ni 284 millions de lignes. Trois raisons font pourtant que le sujet vous concerne.
Premièrement, la méthode ne coûte presque rien à reproduire. Le vishing ne demande ni infrastructure ni compétence technique rare. Il demande un numéro de téléphone, un prétexte crédible et de la patience. Une PME est même une cible plus facile qu’un grand groupe, parce que les procédures y sont plus souples et que le service informatique est souvent une seule personne, joignable et serviable.
Deuxièmement, vous avez le même schéma en plus petit. Si vos salariés se connectent à leurs outils via un compte Microsoft ou Google unique, vous avez une authentification unique. Le principe est identique : un compte compromis ouvre la messagerie, les fichiers, le CRM et la comptabilité.
Troisièmement, vous êtes peut-être dans les données de quelqu’un d’autre. C’est le point le plus souvent manqué. Vos salariés figurent dans les fichiers de votre mutuelle, de votre cabinet comptable, de votre prestataire de paie. Quand l’un de ces tiers est compromis, l’employeur hérite d’obligations concrètes sans avoir subi la moindre attaque.
Notre avis d’expert nº 2
Le scénario qui suit immédiatement une fuite de ce type est toujours le même, et il vise le service comptable plutôt que la victime : la fraude au changement de coordonnées bancaires. Un courriel ou un appel citant le nom exact du prestataire, un numéro de dossier réel et les derniers chiffres d’un compte franchit toutes les défenses du bon sens, parce qu’il contient des informations que seul un interlocuteur légitime devrait connaître. La contre-mesure ne coûte rien : tout changement de RIB se valide par rappel sur le numéro déjà enregistré, jamais sur celui indiqué dans la demande.
Les 5 actions à mener cette semaine
Aucune ne demande d’achat. Toutes se font avec ce que vous avez déjà.
- Écrivez la procédure de réinitialisation de mot de passe. Une page. Qui a le droit de demander, comment l’identité est vérifiée, et la règle absolue : on rappelle toujours sur le numéro figurant dans l’annuaire interne, jamais sur celui donné par l’appelant. C’est exactement l’étape qui a cédé chez McKesson.
- Passez les comptes à privilèges sur un second facteur résistant à l’hameçonnage. Clés physiques ou passkeys, pour les administrateurs et la direction d’abord. Une dizaine de comptes, quelques centaines d’euros, une demi-journée.
- Posez un plafond d’export sur vos applications métier. CRM, paie, facturation : définissez un volume maximal par compte et par jour, et une alerte au dépassement. L’exfiltration massive passe par des exports, pas par des téléchargements un par un.
- Faites une simulation de vishing. Appelez trois personnes en vous faisant passer pour le support informatique et demandez une réinitialisation. Prévenez la direction avant, jamais les personnes testées. Le résultat vous dira où vous en êtes réellement, et il surprend presque toujours.
- Listez les tiers qui détiennent vos données salariés. Croisez le registre des traitements et les factures fournisseurs des douze derniers mois. Une PME de cent personnes en découvre généralement entre six et douze, dont deux ou trois absents de tout registre.
Ce que cet incident dit de la défense en 2026
Une tendance se confirme, et elle est inconfortable pour beaucoup de budgets sécurité. Les attaques qui réussissent aujourd’hui contre des organisations bien équipées ne passent plus par la technique. Elles passent par l’identité — c’est-à-dire par des gens et par des procédures.
Notre avis d’expert nº 3
Si votre budget cybersécurité est à plus de quatre-vingts pour cent consacré à des outils techniques, il est mal réparti au regard des attaques réellement observées cette année. Cela ne veut pas dire qu’il faut moins d’outils : la détection reste indispensable. Cela veut dire qu’une part significative devrait aller vers les procédures d’identité — réinitialisation, arrivées et départs, comptes à privilèges — et vers l’entraînement réel des équipes. Ce sont les postes les moins vendeurs et les plus rentables.
Sur la partie journalisation qui permettrait de détecter un export anormal avant qu’il ne soit terminé, notre méthode en sept étapes sur la journalisation avant tout SIEM couvre exactement le contrôle manquant dans ce type de scénario. Et si vous devez formaliser vos obligations vis-à-vis des prestataires qui détiennent vos données, notre audit de périmètre NIS2 pose le cadre attendu.
Côté gouvernance des accès aux outils d’intelligence artificielle et des données qu’ils traitent, les analyses publiées par Plug-Tech complètent utilement ce cadre, et les retours d’expérience de d-open.org sur l’audit des chaînes de dépendances traitent le versant technique que cet article laisse volontairement de côté.
Aucun correctif n’aurait empêché cette attaque. Aucun pare-feu non plus. Ce qui l’aurait empêchée tient en une page écrite et une clé à vingt-cinq euros — et c’est précisément pour cela qu’elle continuera de fonctionner. — Nicolas Verdier, WebGuard Agency
Testez votre procédure de réinitialisation cette semaine
Appelez trois de vos salariés en vous faisant passer pour le support et demandez une réinitialisation. Prévenez la direction, pas les personnes testées. Le résultat vous dira où vous en êtes. Téléphone : +33 6 32 64 24 80.
Discutons-en →Questions fréquentes
Mon entreprise est-elle concernée par une fuite chez un prestataire étranger ?
Directement, seulement si vos données ou celles de vos salariés figurent dans le fichier. Indirectement, toujours, parce que la méthode employée est reproductible et bon marché. Dans le cas d’une fuite chez un prestataire qui détient vos données salariés, la notification à la CNIL incombe au responsable du traitement chez qui la violation s’est produite, mais vous devez consigner l’incident dans votre registre interne des violations, informer les personnes concernées de ce à quoi elles sont exposées et conserver la trace écrite de vos échanges avec le prestataire.
Qu’est-ce que le vishing et pourquoi fonctionne-t-il si bien ?
Le vishing est un hameçonnage par appel téléphonique. Il fonctionne parce qu’il exploite trois ressorts que la technique ne couvre pas : l’urgence créée par un interlocuteur qui semble légitime, la serviabilité naturelle d’un service informatique dont le métier est d’aider, et le fait que la voix humaine porte des signaux de confiance qu’un courriel n’a pas. Il ne nécessite ni infrastructure ni compétence technique rare, ce qui le rend accessible et donc fréquent. La seule contre-mesure réellement efficace est procédurale : un rappel systématique sur le numéro figurant dans l’annuaire interne, jamais sur celui fourni par l’appelant.
L’authentification unique est-elle une mauvaise idée après ce type d’incident ?
Non, et il serait coûteux de conclure cela. L’authentification unique réduit le nombre de mots de passe, permet une révocation centralisée des accès et améliore nettement la traçabilité. Son effet secondaire est réel : un compte compromis ouvre davantage de portes. Le bon arbitrage n’est pas de l’abandonner mais de la conditionner à un second facteur résistant à l’hameçonnage pour les comptes à privilèges. Un code à six chiffres ou une notification à valider se contournent au téléphone ; une clé physique ou une passkey, non.
Par quoi commencer si je ne peux faire qu’une seule chose ?
Écrivez la procédure de réinitialisation de mot de passe, et faites-la tenir sur une page. Qui a le droit de demander une réinitialisation, comment l’identité du demandeur est vérifiée, et la règle non négociable du rappel sur le numéro de l’annuaire interne. C’est exactement l’étape qui a cédé dans cet incident, cela ne coûte rien, et cela protège contre le scénario le plus fréquent en PME. Testez-la ensuite en appelant trois personnes vous-même : l’écart entre la procédure écrite et la réalité est presque toujours instructif.