Un Appel au Support, pas une Faille Zero-Day
La plus grande faille de McKesson depuis des années n'a pas commencé par un défaut logiciel, mais par un appel à son propre service d'assistance. Entre le 21 et le 25 août 2026, un attaquant se faisant passer pour un employé a convaincu un agent du support de réinitialiser les identifiants de connexion unique Okta, puis a utilisé cet accès pour atteindre les systèmes internes Salesforce et Snowflake et faire sortir environ un téraoctet de données en quatre jours.
McKesson, le plus grand distributeur pharmaceutique américain, a découvert l'intrusion le 25 août et l'a signalée à la Securities and Exchange Commission le 28 août dans un formulaire 8-K, la voie habituelle pour une faille qu'une entreprise cotée juge assez grave pour la déclarer. Le groupe d'extorsion ShinyHunters a revendiqué l'attaque publiquement la même semaine, donnant aux journalistes un premier aperçu de ce qu'il affirme avoir pris.
Ce qui a Vraiment Quitté l'Entreprise
Le jeu de données volé, si les affirmations de ShinyHunters se confirment, couvre le cœur clinique d'un dossier patient, pas seulement une liste de contacts. Noms, adresses, dates de naissance, numéros de sécurité sociale, identifiants de patient et de Medicaid, numéros de dossier médical, ainsi que des données sur les médicaments, les allergies et les médecins traitants figurent tous dans les affirmations du groupe.
ShinyHunters chiffre le nombre de lignes à 284 millions, mais McKesson n'a pas confirmé ce chiffre ni indiqué combien de patients distincts il représente réellement. Le dossier d'un seul patient peut générer des dizaines de lignes de base de données sur des années de visites, si bien qu'un nombre brut de lignes est un plafond pour l'effet d'annonce, pas un plancher pour le nombre réel de personnes touchées ; McKesson affirme encore être en train de le déterminer.
Une Demande de Rançon d'une Précision Étrange
ShinyHunters a exigé exactement 55 236 150 dollars sous 72 heures après le premier contact, un montant trop précis pour être une offre d'ouverture ronde. Les groupes d'extorsion calculent de plus en plus leur demande à partir du nombre de lignes revendiqué, environ 19 cents par ligne dans ce cas, une raison de plus pour laquelle le nombre réel de patients compte plus que le chiffre choc que les attaquants ont choisi de publier.
McKesson n'a pas indiqué s'il a négocié avant l'échéance ni s'il compte payer. Les entreprises cotées le confirment rarement, car le paiement lui-même peut devenir une question de communication financière et d'actionnaires distincte de la faille.
Une Seule Bande, Trois Portes Différentes
McKesson est la troisième faille confirmée de 2026 liée à ShinyHunters, et le groupe a chaque fois emprunté une voie d'entrée différente, ce qui est la vraie leçon pour quiconque suppose qu'un seul contrôle suffit à arrêter cet acteur.
| Entreprise | Divulguée | Méthode d'entrée | Données exposées | Exigence |
|---|---|---|---|---|
| RingCentral | 28 juillet 2026 (publique 13 août) | Ingénierie sociale visant un employé, méthode non divulguée | 1,6 million de contacts | Non payée, 280 Go publiés |
| Trezor (via ShipMonk) | 13 août 2026 | Injection SQL dans l'outil Metabase de ShipMonk | 11 742 dossiers complets, 1 947 partiels | E-mail d'extorsion, montant non divulgué |
| McKesson | 28 août 2026 | Réinitialisation Okta obtenue par téléphone | Jusqu'à 284 millions d'enregistrements bruts, nombre de patients non confirmé | 55 236 150 dollars en 72 heures |
Un appel téléphonique a forcé la porte d'entrée de McKesson, un défaut logiciel celle de ShipMonk, et une approche d'ingénierie sociale non précisée celle de RingCentral. Former le personnel à se méfier d'un seul canal ferme une porte et laisse les autres exactement aussi ouvertes qu'avant.
Ce que Cette Affaire Doit à Votre Propre Infrastructure
Okta, Salesforce et Snowflake ne sont pas propres à McKesson ; ils forment aussi la couche d'identité, de vente et d'entrepôt de données d'une large part des logiciels d'entreprise européens, si bien que l'exposition décrite par cette faille est un risque de chaîne logicielle, pas seulement un risque McKesson. Tout support capable de réinitialiser une connexion unique sur un simple appel garde ouverte la même porte.
Un rappel vers un numéro déjà enregistré, un second approbateur pour toute réinitialisation d'identifiants, et un accès en lecture limité entre la couche de connexion et l'entrepôt de données qui la suit sont les trois contrôles que cet incident appelle directement, et aucun d'eux ne figure dans une attestation SOC 2 classique ni dans un questionnaire fournisseur, ce qui explique pourquoi un audit purement documentaire aurait manqué les trois failles.
Servola Journal
Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.
Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.
Si cela vous a apporté quelque chose aujourd'hui, dites-le-nous pour que nous continuions. Suivez-nous, laissez un like, ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font continuer.
À lire ensuite: 8,7 millions de données, une clé visible de tous | Rhysida détient la carte des failles de l'eau à Berlin
