McKesson visé par ShinyHunters : 284 millions d'enregistrements, une leçon de sous-traitance pour les DPO
McKesson, géant américain de la distribution pharmaceutique et de matériel médical, enquête depuis le 28 août 2026 sur une intrusion revendiquée par le groupe d'extorsion ShinyHunters. Jusqu'à 284 millions d'enregistrements seraient concernés et une rançon de 55 millions de dollars aurait été exigée. L'affaire, purement américaine sur le papier, éclaire une faille que la plupart des organisations européennes partagent : la dépendance à des applications tierces mal auditées.
Ce qui s'est passé
Fondé en 1833, McKesson fournit des produits pharmaceutiques et du matériel médical à plus de 40 000 clients institutionnels aux États-Unis. Le 28 août, l'entreprise a annoncé enquêter sur un « accès non autorisé et une exfiltration de données » impliquant des applications tierces. Le lendemain, elle confirmait que l'incident touchait un sous-ensemble de clients rattachés à ses activités Oncology & Multispecialty et Medical-Surgical.
Le groupe ShinyHunters, spécialiste de l'extorsion de données, a revendiqué l'attaque sur son site de fuite en affirmant avoir compromis des centaines de millions d'enregistrements — jusqu'à 284 millions selon les estimations relayées par la presse spécialisée, avec une demande de rançon de 55 millions de dollars. L'accès initial aurait été obtenu par ingénierie sociale ciblant des salariés. McKesson assure qu'il n'y a plus d'activité malveillante active sur son réseau et que ses services, y compris la distribution, continuent de fonctionner normalement.
L'incident survient quelques jours seulement après une autre alerte dans la chaîne d'approvisionnement de santé américaine : Boston Scientific, fabricant de dispositifs médicaux, avait signalé une « perturbation mondiale » liée à une cyberattaque dans un document déposé auprès de la SEC.
Pourquoi c'est important pour les DPO européens
McKesson n'est pas un responsable de traitement européen, mais l'incident illustre un risque que les organisations du continent connaissent bien : celui de la chaîne de sous-traitance. Comme le rappelle Leto dans son décryptage du scénario type publié par la CNIL sur les cyberattaques chez un sous-traitant, une violation qui démarre chez un prestataire technique déclenche une double obligation : celle du sous-traitant envers le responsable de traitement (article 28 du RGPD), et celle du responsable de traitement envers la CNIL et les personnes concernées (articles 33 et 34).
La méthode d'accès — l'ingénierie sociale visant des employés plutôt qu'une vulnérabilité technique — rejoint un constat déjà documenté par Leto : en France, 85 % des organisations touchées par un ransomware confirment que l'incident était d'abord une attaque d'identité, avant d'être un problème de chiffrement de données. Les identifiants compromis et le phishing restent devant l'exploitation de failles techniques.
L'incident survenu chez Manchester Airports Group fin août, via des prestataires de réservation tiers, suit exactement le même schéma : ce n'est pas l'organisation elle-même qui est directement piratée, mais l'un de ses fournisseurs applicatifs. Les données de santé, comme celles potentiellement exposées chez McKesson, aggravent le risque : elles alimentent des fraudes bien plus difficiles à corriger qu'un simple vol d'identifiants, à l'image de l'exposition de numéros de sécurité sociale révélée par l'incident Almerys en France.
Ce que ça change concrètement pour les organisations
Pour les entreprises européennes qui travaillent avec des prestataires ou éditeurs américains — un cas extrêmement fréquent, notamment dans la santé et la logistique —, cet incident est un rappel opérationnel plutôt qu'une alerte réglementaire directe. Trois réflexes s'imposent :
Cartographier précisément les applications tierces connectées à des systèmes contenant des données personnelles, y compris celles jugées secondaires. Comme le note John Strand, expert en sécurité cité par Infosecurity Magazine, chaque intégration SaaS élargit la surface d'attaque sans que l'organisation en ait toujours conscience.
Vérifier les clauses contractuelles avec ces prestataires : engagement de notification rapide en cas d'incident, garanties de sécurité (article 32), et le cas échéant conformité des transferts de données hors UE — un point que Leto détaille dans son guide sur le transfert de données personnelles vers les États-Unis.
Former les équipes à la détection de l'ingénierie sociale, puisque c'est le maillon humain, et non la technique, qui a permis l'accès initial. Le guide Leto sur les ransomwares détaille les réflexes à adopter face à une demande de rançon liée à une exfiltration de données.
Ce que Leto pense de cette affaire
Ce n'est pas la taille de McKesson qui doit retenir l'attention, mais la répétition du scénario. Depuis plusieurs semaines, les incidents impliquant des applications tierces s'enchaînent — Manchester Airports, Almerys, désormais McKesson — et convergent tous vers la même faille : la confiance excessive accordée à des prestataires dont la sécurité n'est jamais vraiment auditée. Les DPO qui limitent leur vigilance aux traitements internes prennent un risque disproportionné. L'audit des sous-traitants, même ceux qui semblent périphériques, devrait être un exercice annuel non négociable, pas une case cochée une fois lors de la signature du contrat.
