Début novembre, trois pharmacies françaises ont été piratées et des fichiers de patients revendiqués par des cybercriminels. La piste privilégiée : des connexions à distance laissées ouvertes en permanence par un prestataire. Dans une affaire distincte, un éditeur de logiciels d’officine reconnaît que 51 pharmacies avaient choisi de garder des accès jugés risqués, en signant une décharge. Une même leçon vaut pour toute PME.
Ce qui s’est passé
Entre le 31 octobre et le 3 novembre, trois officines à Paris, Strasbourg et Dijon ont été visées. Des pirates revendiquent plus de 436 000 dossiers de patients (numéros de sécurité sociale, mutuelle, ordonnances), un chiffre qui n’est pas vérifié. À Dijon, le titulaire a déposé plainte, selon Le Moniteur des pharmacies.
L’éditeur du logiciel de gestion commun aux trois pharmacies écarte une faille de son produit. Il met en cause un prestataire de tiers payant, la société qui gère pour l’officine les remboursements par l’Assurance maladie et les mutuelles, et qui disposait d’un accès permanent à leurs ordinateurs (Le Moniteur des pharmacies, 6 novembre 2026). Le syndicat USPO a alerté ses adhérents sur les outils de prise en main à distance. Une représentante de la profession indique qu’une seule société de tiers payant serait concernée ; l’enquête est en cours.
En parallèle, un signalement public évoquait des accès de télémaintenance mal protégés dans des pharmacies équipées d’un autre logiciel. L’éditeur, Pharmagest, a répondu au site Cyberattaque.org : 51 officines étaient concernées sur plus de 8 000 en France. Elles avaient été prévenues du risque et avaient signé une décharge pour conserver ces accès, utilisés par des sociétés tierces. L’éditeur les a fermés le 6 novembre, dit n’avoir détecté aucune attaque et précise que les trois pharmacies piratées n’utilisaient pas son logiciel.
Comment l’attaque a fonctionné
Pour intervenir sans se déplacer, un prestataire installe sur le poste un logiciel de prise en main à distance : il voit l’écran et peut agir comme s’il était assis devant. Si cette connexion reste ouverte en permanence, sans code temporaire ni validation par la pharmacie, quiconque obtient le moyen de s’y connecter entre aussi. Selon la piste étudiée, c’est par ce chemin que les pirates auraient atteint les postes, puis copié des sauvegardes des bases de données.
Le problème n’est pas l’outil lui-même, mais l’accumulation : tiers payant, étiquettes électroniques, maintenance informatique, chaque prestataire peut avoir le sien, parfois sans que le titulaire le sache.
Ce qu’on ne sait pas encore
Le nom du prestataire de tiers payant, la façon exacte dont ses accès ont été utilisés et le nombre réel de patients concernés ne sont pas publics. On ne sait pas non plus si d’autres officines ont été touchées par le même chemin.
Ce que ça change pour une PME
- Faites l’inventaire des outils de prise en main à distance. Demandez à votre prestataire informatique la liste de ce qui est installé sur chaque poste, qui l’utilise et pourquoi. Désinstallez ce qui ne sert plus.
- Pas d’accès ouvert en permanence. Un prestataire se connecte quand vous l’autorisez, avec un code à usage unique ou une validation de votre part, puis l’accès se referme.
- Un compte par prestataire, avec double authentification. Et une trace de chaque connexion, que vous pouvez consulter.
- Une décharge ne remplace pas une protection. Si vous gardez un accès risqué, décidez-le en connaissance de cause, ajoutez une protection (VPN, double authentification) et fixez une date pour revoir ce choix. Les 10 mesures essentielles de Cybermalveillance.gouv.fr donnent les bases.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous la liste des outils de prise en main à distance installés sur nos postes, et savons-nous qui utilise chacun d’eux ?
- Nos contrats disent-ils comment chaque prestataire se connecte, quand, avec quel compte, et qui garde la trace de ses interventions ?
- Quand un prestataire a fini son intervention, qui vérifie que l’accès est bien refermé ?
- Si nous avons accepté de garder un accès risqué, qui l’a décidé, avec quelle protection en plus, et quand ce choix sera-t-il revu ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Fournisseurs et sous-traitants · Mots de passe et accès volés
Cet article prolonge notre bulletin de veille du 11 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.