Fuite de données McKesson

McKesson, c’est quoi ?

McKesson est un grand groupe américain de distribution pharmaceutique et de services de santé, notamment en oncologie. Vous êtes potentiellement concerné si vous avez été patient d’une structure cliente, destinataire de ses campagnes, membre de son personnel ou professionnel de santé en relation avec lui.

Ce qui s’est passé

En août 2026, l’entreprise de santé et de pharmacie McKesson a été visée par une campagne d’extorsion « payer ou fuiter » du groupe ShinyHunters.

Le groupe a ensuite publié un important ensemble de données qu’il affirme provenir de l’entreprise, dont 6,4 millions d’adresses email uniques, avec d’autres attributs personnels et professionnels.

Les données concernent des profils variés : destinataires de campagnes marketing, patients, personnels et contacts de professionnels de santé.

Dans son avis, McKesson a indiqué avoir identifié un accès non autorisé à certaines applications tierces et l’exfiltration de données liées à une partie de ses clients des activités Oncology & Multispecialty et Medical-Surgical, tout en ayant l’assurance raisonnable qu’aucune activité non autorisée ne se poursuivait.

Les données exposées

• données de santé
• dates de naissance
• numéros de téléphone
• adresses postales
• adresses email
• employeurs
• genres
• noms

Les personnes touchées ne sont pas forcément concernées par chaque catégorie.

Le niveau de risque

Gravité modérée : ni mot de passe ni donnée bancaire, mais des données personnelles durablement exploitables.

Aucun mot de passe, mais des données de santé, et celles-là ne se changent pas. Le risque, comme pour toute fuite médicale, est l’approche ciblée : un faux message de clinique, de pharmacie ou d’assurance qui cite un vrai traitement pour obtenir un paiement ou des informations. Ne répondez à aucune sollicitation entrante qui parle de votre santé ; rappelez l’établissement à un numéro que vous connaissez. Si vous êtes professionnel de santé, attendez-vous aussi à des tentatives d’hameçonnage au nom de McKesson.

Que faire si vous êtes concerné

1. Des informations personnelles sensibles figurent dans cette fuite. Elles peuvent servir à écrire des messages très personnalisés, voire à faire pression sur vous. Si cela arrive, ne cédez rien : vous n’avez rien fait de mal.
2. Votre numéro de téléphone est potentiellement exposé. Vous pourriez recevoir des SMS ou des appels qui semblent vous connaître.
3. Votre nom et votre date de naissance sont potentiellement exposés. Ils ne peuvent pas être effacés d’Internet : un message qui les cite ne prouve donc pas qu’il est sérieux.
4. Des e-mails ou des SMS imitant McKesson peuvent utiliser vos vraies informations pour paraître crédibles : c’est ce qu’on appelle le phishing.
5. Par précaution, vous pouvez activer la double authentification sur votre boîte mail : c’est elle qui reçoit les liens « mot de passe oublié » de vos autres comptes.

Bon à savoir : vous pouvez signaler les tentatives d’arnaque : transférer les SMS frauduleux au 33700, signaler les e-mails sur signal-spam.fr et retrouver les bons réflexes sur cybermalveillance.gouv.fr.

Pour aller plus loin : Mon numéro de téléphone a fuité · Reconnaître les arnaques qui suivent une fuite · Mon adresse e-mail est dans une fuite : que faire ?