Violation de données chez McKesson en 2026

Son enquête a situé cette activité entre le 20 et le 25 août et a confirmé un accès non autorisé à des applications tierces ainsi que l’exfiltration de données provenant de celles-ci. Dans un document déposé auprès de la SEC le 28 août, McKesson a indiqué que l’enquête n’en était qu’à ses débuts et que l’entreprise n’avait pas établi que l’incident revêtait un caractère significatif ou était raisonnablement susceptible d’avoir un impact significatif sur elle.

Dans sa communication aux clients du 29 août, McKesson a précisé que cet accès concernait certains clients de ses divisions Oncology & Multispecialty et Medical-Surgical. La prise de commandes, les centres de distribution, les expéditions de produits, les systèmes et les services restaient opérationnels. L’entreprise a également indiqué qu’elle disposait d’une assurance raisonnable qu’aucune activité non autorisée ne subsistait dans ses systèmes.

Un avis de notification de substitution du 8 septembre expliquait que McKesson pouvait détenir des données personnelles et des informations de santé protégées par l’intermédiaire des prestataires de soins de santé qu’elle approvisionne. Une personne peut donc être concernée sans avoir de compte directement auprès de McKesson. Les types de données potentiellement concernés varient selon les personnes et peuvent comprendre des informations d’identité et des coordonnées, des identifiants de patients, des dates de naissance, des informations d’assurance, des dossiers médicaux et des renseignements sur les soins, des informations de facturation et de demandes de remboursement, des données de compte, de carte ou bancaires, ainsi que des numéros de sécurité sociale. Les dossiers peuvent concerner des patients, des garants ou d’autres personnes. Aucun nombre total de personnes touchées ou de dossiers uniques n’a été communiqué.

McKesson a déclaré avoir activé ses procédures de réponse aux incidents, fait appel à des experts externes en cybersécurité, averti les forces de l’ordre, maîtrisé l’incident et ajouté des mesures de protection. Son examen des données se poursuit. Une fois celui-ci terminé, l’entreprise prévoit de coordonner les notifications individuelles avec ses clients prestataires de soins de santé. L’avis de notification de substitution offre aux personnes qui pensent avoir pu être touchées une surveillance du crédit et une protection contre l’usurpation d’identité gratuites pendant deux ans.