Le géant américain de la santé McKesson a confirmé un incident de cybersécurité impliquant un accès non autorisé à des applications tierces et un vol de données, tandis que le groupe d’extorsion ShinyHunters affirme avoir obtenu environ 284 millions de dossiers de la société.
McKesson a découvert l’incident le 25 août et l’a divulgué dans un formulaire 8-K déposé auprès de la Securities and Exchange Commission des États-Unis. La société a indiqué que son enquête en est encore à un stade précoce et qu’elle n’a pas déterminé que l’attaque était importante ou susceptible d’avoir un impact significatif sur sa situation financière ou ses résultats opérationnels.
Dans les informations fournies aux clients, McKesson a confirmé que des données avaient été exfiltrées après un accès non autorisé à des applications tierces. Elle n’a pas identifié publiquement les applications concernées ni expliqué comment l’accès a été obtenu.
McKesson a activé ses procédures de réponse aux incidents après la découverte de la faille et a fait appel à des spécialistes externes en cybersécurité pour aider à l’enquête. Sur la base des informations actuellement disponibles, l’entreprise a indiqué que les clients n’ont pas besoin d’agir et qu’elle ne déconnecte pas activement les systèmes.
ShinyHunters a revendiqué séparément la responsabilité et a fourni des allégations beaucoup plus étendues concernant l’intrusion. Selon le groupe, le chiffre de 284 millions représente un nombre approximatif de dossiers plutôt que 284 millions de patients uniques.
Les attaquants affirment que les informations volées incluent des noms, adresses, numéros de sécurité sociale, dossiers médicaux, diagnostics, informations sur ordonnances et données de facturation. ShinyHunters allègue également que des informations particulièrement sensibles concernant des maladies en phase terminale, des causes de décès et une orientation sexuelle apparaissent dans le matériel volé.
Des données appartenant aux employés, médecins et cliniques, ainsi que des communications entre médecins et patients, auraient également été obtenues. McKesson n’a pas confirmé ces allégations spécifiques.
ShinyHunters affirme avoir obtenu un accès initial en ciblant plusieurs employés de McKesson avec du phishing vocal. Le groupe affirme que les comptes Okta compromis ont ensuite donné accès aux environnements Salesforce et Snowflake de l’entreprise.
Selon les assaillants, environ un téraoctet d’informations a été exfiltré sur quatre jours entre le 21 et le 25 août. ShinyHunters affirme également avoir obtenu un accès étendu à l’environnement Salesforce de McKesson, y compris des cas de support. Ces détails restent des allégations de l’acteur malveillant et n’ont pas été confirmés de manière indépendante par McKesson.
Le groupe affirme avoir exigé 55 236 150 $ à McKesson et donné à l’entreprise 72 heures pour répondre. ShinyHunters affirme que McKesson n’a pas répondu ni entamé de négociations.
McKesson est l’un des plus grands distributeurs américains de médicaments sur ordonnance et de fournitures médicales et fournit également des services de technologie de santé. L’entreprise n’a pas encore divulgué combien de personnes ont été affectées par l’incident ni confirmé si les catégories d’informations des patients décrites par ShinyHunters ont été volées.