National Kidney Registry inscrit par le groupe de rançongiciel DireWolf

Le 25 août 2026, le groupe d'extorsion DireWolf a revendiqué une cyberattaque contre le National Kidney Registry (NKR), une organisation à but non lucratif américaine de premier plan qui coordonne les greffes de rein de donneurs vivants et les programmes d'échange croisé. Le groupe a inscrit le NKR sur son site de fuite, affirmant avoir exfiltré environ 253 Go de données comprenant quelque 180 000 fichiers répartis en huit jeux de données, dont des informations médicales de donneurs et des dossiers de receveurs de greffe.

Selon les allégations du groupe, les données volées comprenaient des numéros de sécurité sociale, des dates de naissance, des antécédents médicaux complets, de l'imagerie, des données HLA (typage tissulaire), des justificatifs financiers et des coordonnées personnelles — des catégories soumises aux règles de protection des données HIPAA et d'allocation d'organes. DireWolf a indiqué à des chercheurs que son opération relevait du vol de données plutôt que d'une perturbation des systèmes informatiques du NKR. Au moment de la divulgation, aucun fichier échantillon ni capture d'écran n'avait été publié, et aucune des allégations n'avait été confirmée de manière indépendante.

Ce qui s'est passé

Le registre occupe une position particulièrement sensible : il apparie des donneurs vivants et des receveurs à l'échelle nationale, ce qui signifie que ses dossiers relient directement l'identité des individus à des données médicales, immunologiques et financières. Comme le vol présumé n'a pas perturbé les opérations, le risque principal est l'exposition et la publication éventuelle de ces données — une stratégie d'extorsion fondée sur le seul vol de données, conçue pour pousser une organisation à but non lucratif à vocation sociale à payer.

Pourquoi c'est important

La violation présumée d'un registre de greffes d'organes soulève de vives préoccupations en matière de vie privée et de sécurité, compte tenu du caractère irremplaçable des données médicales et immunologiques concernées. L'affaire souligne comment les organisations à but non lucratif assurant des fonctions de santé critiques — souvent dotées de ressources de sécurité limitées — sont devenues des cibles pour des groupes d'extorsion qui exploitent la sensibilité même des données.