Abbott Laboratories : deux cyberattaques revendiquées par ShinyHunters, quels risques RGPD ?

Abbott Laboratories, géant américain du diagnostic médical et de la pharmacie, enquête sur deux incidents de cybersécurité distincts touchant ses divisions Cancer Diagnostics et LabCentral. Fait rare : deux groupes de cybercriminels concurrents, ShinyHunters et ShadowByt3$, revendiquent chacun leur propre intrusion. Abbott a beau être basée aux États-Unis, elle traite des données de patients européens à grande échelle — de quoi potentiellement activer les obligations du RGPD.

Ce qui s'est passé

Selon les informations révélées le 19 juillet 2026, Abbott Laboratories a ouvert deux enquêtes séparées après que les groupes ShinyHunters et ShadowByt3$ ont chacun affirmé avoir exfiltré des données appartenant à l'entreprise. Les cibles présumées sont deux divisions : Cancer Diagnostics, dédiée aux tests de dépistage oncologique, et LabCentral, une plateforme de gestion de résultats de laboratoire. Le volume exact de données concernées n'a pas été confirmé à ce stade, et Abbott n'a pas encore communiqué publiquement sur la nature précise des informations touchées.

La double revendication complique l'évaluation de l'incident : elle peut signifier deux compromissions réellement distinctes, ou un même lot de données revendiqué par des acteurs rivaux pour asseoir leur réputation dans l'écosystème cybercriminel. Cette dynamique n'est pas isolée — Leto a déjà retracé l'histoire de ShinyHunters, devenu une véritable marque cybercriminelle revendiquée bien au-delà de ses membres d'origine.

Pourquoi c'est important pour les DPO européens

Abbott n'est pas une entreprise européenne, mais elle commercialise des dispositifs médicaux et des services de diagnostic dans toute l'Union européenne. Si les données concernées incluent des patients ou professionnels de santé résidant dans l'UE, le RGPD s'applique par son critère de ciblage (article 3), indépendamment du lieu d'établissement du responsable de traitement. Les données potentiellement exposées — résultats d'analyses, informations de diagnostic — relèvent de surcroît des catégories particulières de données visées à l'article 9, qui bénéficient d'un régime de protection renforcé.

Se pose alors la question du délai : les responsables de traitement européens qui recourent à Abbott ou à ses filiales comme sous-traitants doivent vérifier si l'incident déclenche une obligation de notification à l'autorité de contrôle sous 72 heures, et le cas échéant, une communication directe aux personnes concernées si le risque est élevé. Cette affaire rappelle celle de Medtronic, victime du même groupe ShinyHunters quelques mois plus tôt : dans les deux cas, c'est la chaîne de sous-traitance santé qui expose les organisations européennes, bien plus que leur propre périmètre technique.

Ce que ça change pour les organisations

Pour les DPO et RSSI d'organisations qui utilisent des solutions Abbott — laboratoires, hôpitaux, cliniques partenaires — trois réflexes s'imposent. D'abord, cartographier précisément les flux de données échangés avec Cancer Diagnostics et LabCentral, afin de déterminer l'exposition réelle. Ensuite, solliciter Abbott pour obtenir une évaluation d'impact et, le cas échéant, une notification formelle conforme à l'article 28 du RGPD sur les obligations du sous-traitant. Enfin, revoir les clauses contractuelles de traitement des données (DPA) qui lient l'organisation à ses fournisseurs américains du secteur santé, notamment sur les délais d'alerte en cas d'incident — un point déjà identifié comme récurrent dans les transferts de données vers les États-Unis.

Les organisations non directement clientes d'Abbott ont également intérêt à profiter de cet épisode pour réviser leur propre cartographie des sous-traitants santé et vérifier que leurs procédures internes de gestion d'incident permettent de réagir en 72 heures, quelle que soit l'origine géographique du fournisseur concerné.

Ce que Leto pense de cette décision

Cette affaire confirme une tendance que nous observons depuis plusieurs mois : le secteur santé est devenu une cible cyber de choix, et les groupes comme ShinyHunters industrialisent leurs revendications au point de rendre difficile, pour les organisations concernées, une communication claire et rapide. Pour les DPO européens, la leçon ne change pas d'un incident à l'autre : la dépendance à des fournisseurs américains de dispositifs médicaux ne dispense d'aucune obligation RGPD, et l'absence de communication officielle d'Abbott à ce stade ne doit pas retarder l'audit interne des flux de données concernés.

Sources : DataBreaches.net