Mi-juillet, le géant des technologies médicales Abbott a confirmé enquêter sur deux incidents cyber distincts. Le plus sérieux est revendiqué par ShinyHunters, l'un des groupes d'extorsion les plus actifs du moment : selon le récit du groupe à la presse spécialisée, tout aurait commencé mi-juin par une campagne d'hameçonnage vocal, des appels téléphoniques à des employés en se faisant passer pour le support informatique interne, aboutissant à la compromission d'un compte SSO Microsoft Entra.
Abbott, de son côté, confirme un accès non autorisé à « un nombre limité de systèmes internes », circonscrit à sa division Cancer Diagnostics, sur des systèmes hérités de l'acquisition d'Exact Sciences, séparés de son environnement principal. L'entreprise affirme qu'il n'y a aucun impact opérationnel et « aucune exposition connue de données sensibles de clients ou d'affaires ». Le groupe, lui, revendique des dizaines de millions d'enregistrements, chiffres qu'aucune source indépendante n'a validés à ce jour, et a placé Abbott sur son site de fuite avec un ultimatum.
Que les revendications s'avèrent exactes ou gonflées, la mécanique d'attaque décrite mérite l'attention de tout propriétaire de risque, parce qu'elle est en train de devenir le mode opératoire dominant.
Le vishing bat le MFA tel qu'il est déployé
La chaîne d'attaque documentée chez ShinyHunters par les chercheurs de Mandiant est d'une efficacité redoutable précisément parce qu'elle n'exploite aucune faille logicielle.
- Un appel, pas un exploit. L'attaquant appelle un employé en se faisant passer pour le support informatique, avec un prétexte crédible et un ton professionnel. Il obtient les identifiants, ou fait valider une connexion.
- Le MFA est contourné par enrôlement. Une fois les identifiants capturés, l'attaquant enregistre son propre appareil comme second facteur. Le MFA continue de fonctionner parfaitement ; il protège désormais l'attaquant.
- Un compte SSO ouvre tout le reste. C'est le point structurel. Le SSO a concentré l'accès à l'ensemble du parc SaaS sur une seule identité. Dans le cas d'Abbott, le groupe revendique avoir pivoté vers ServiceNow, SharePoint, Databricks et Coupa depuis ce seul compte. Le rayon d'explosion d'une identité compromise, c'est désormais l'entreprise entière.
Ce mode opératoire n'est pas propre à Abbott. Le même groupe a mené en 2025 une vague de vishing contre des dizaines de locataires Salesforce, revendiquant plus d'un milliard d'enregistrements, et les chercheurs ont observé début 2026 une infrastructure d'attaque préparée contre plus d'une centaine d'organisations. Le secteur des technologies médicales est visé de façon répétée depuis des mois.
L'angle mort des acquisitions
Un détail de l'incident dépasse la question des identités : les systèmes touchés sont des systèmes hérités d'Exact Sciences, acquisition récente d'Abbott, pas encore intégrés à l'environnement principal. C'est un schéma récurrent que les programmes de sécurité sous-estiment. Une acquisition apporte des systèmes, des comptes, des accès et des dettes techniques que personne ne connaît encore vraiment, et la période entre la clôture de la transaction et l'intégration complète est une fenêtre d'exposition maximale : l'acquéreur porte la responsabilité, sans avoir encore la visibilité.
Pour un conseil, la conséquence est claire : la consolidation des identités et le calendrier de décommissionnement des systèmes hérités ne sont pas des détails d'intégration. Ce sont des risques quantifiables qui appartiennent à la diligence raisonnable avant la transaction et au suivi de direction après.
Ce qui protège réellement
Les contre-mesures sont connues, et l'incident permet de les prioriser.
- Un MFA résistant à l'hameçonnage. Clés FIDO2 et passkeys ne peuvent pas être « données » au téléphone. Pour les comptes à privilèges et l'accès aux données sensibles, c'est le standard à viser.
- Le contrôle de l'enrôlement MFA. L'ajout d'un nouvel appareil de second facteur est un événement de sécurité : vérification d'identité renforcée, notification à l'utilisateur, délai de latence. C'est le maillon que l'attaquant exploite.
- Une règle simple pour les employés. Le support informatique n'appelle jamais pour demander un identifiant, un code ou une validation MFA. Une phrase, répétée, testée en exercice.
- La surveillance des signaux d'identité. Connexions SSO inhabituelles, enrôlements d'appareils, exports massifs depuis les plateformes SaaS : c'est là que cette attaque se détecte, pas dans l'antivirus. La surveillance de l'exfiltration au niveau des API SaaS devient un contrôle de premier plan.
- Un plan pour l'extorsion sans rançongiciel. Pas de chiffrement ici : vol de données, site de fuite, ultimatum, pression médiatique. Votre plan de continuité doit couvrir ce scénario où tout fonctionne normalement, mais où la crise est bien réelle : négociation, obligations de notification, communication.
La question pour le conseil
L'identité est devenue le périmètre. La question à poser n'est plus « avons-nous du MFA », à laquelle tout le monde répond oui, mais : « si un seul compte SSO tombait ce soir par téléphone, qu'est-ce qui serait accessible, le verrions-nous, et en combien de temps ? ». Si la réponse honnête est « beaucoup de choses, probablement pas, et trop tard », le sujet mérite une ligne au registre des risques et un responsable.
Où FortaRisks intervient
Le module Conformité de FortaRisks cartographie vos contrôles d'identité et d'accès à travers plus de 30 référentiels et en fait des écarts mesurés, priorisés et suivis, du MFA résistant à l'hameçonnage aux procédures de support. Et parce que ce genre d'incident se joue aussi dans la préparation, notre score de risque cyber gratuit vous situe en quelques minutes sur les dimensions qui comptent, identités comprises.