Craneware, éditeur de logiciels de santé, annonce le vol de données de clients, d'employés et de partenaires lors d'une cyberattaque

Le 20 juillet 2026, Craneware — l'éditeur de logiciels de performance financière pour la santé, basé à Édimbourg, dont les produits sont utilisés par les hôpitaux et systèmes de santé américains pour gérer l'intégrité des revenus, la conformité de la facturation et les opérations de pharmacie — a révélé avoir subi une cyberattaque au cours de laquelle des intrus ont obtenu un accès non autorisé à une partie de son environnement de données et volé des données. Dans une communication à la Bourse de Londres, où l'entreprise est cotée sur l'Alternative Investment Market (AIM), Craneware a indiqué qu'un pourcentage de données d'employés ainsi qu'un sous-ensemble de dossiers de clients et de partenaires avaient été consultés et retirés de ses systèmes.

Le logiciel phare de Craneware, fourni via sa plateforme cloud Trisus, est utilisé par des milliers d'hôpitaux, de cliniques et de pharmacies aux États-Unis. L'entreprise a indiqué que les enquêteurs avaient établi qu'un volume important de noms de fichiers avait été consulté et exfiltré, tout en estimant à ce stade qu'une large part des données concernées était non sensible ou déjà publique (informations réglementaires). Craneware n'a attribué l'attaque à aucun acteur malveillant nommé.

Une intrusion contenue mais une enquête en cours

Craneware a indiqué que les attaquants semblaient avoir été expulsés de ses systèmes et que des spécialistes en criminalistique externes mandatés par le conseil d'administration avaient confirmé l'absence d'indicateurs résiduels de compromission. L'entreprise n'a signalé aucune perturbation de ses services clients ni de ses propres opérations, et a précisé avoir notifié les autorités de régulation et les forces de l'ordre — dont l'Information Commissioner's Office britannique et le Federal Bureau of Investigation américain. Son action a reculé d'environ 6 % à l'annonce, les investisseurs mesurant l'exposition réputationnelle d'un fournisseur intégré aux flux de facturation d'une part importante des prestataires de santé américains.

Questions en suspens

Au moment de la divulgation, l'enquête restait en cours et plusieurs détails n'étaient pas confirmés. Craneware n'a pas chiffré précisément le nombre de personnes ou d'organisations clientes concernées, n'a pas entièrement caractérisé les catégories de données volées au-delà de son évaluation préliminaire « largement non sensibles », et n'a nommé aucun acteur malveillant ni signalé de demande de rançon. L'intrusion étant contenue, le point d'appui éradiqué et aucun impact opérationnel signalé, le statut de l'incident était qualifié de contenu — même si l'ampleur des dossiers exfiltrés restait à évaluer.