Début novembre 2026, trois officines françaises ont été compromises et leurs données de patients revendiquées ; la piste étudiée est celle des accès à distance permanents d’un prestataire de tiers payant. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité. Les détails techniques publics sont limités : nous distinguons ce qui est rapporté de ce qui relève de l’hypothèse, et nous séparons clairement une seconde affaire, sans lien établi, concernant des accès VNC conservés sous décharge.
Pour une lecture orientée dirigeant, voir notre décryptage « Pharmacies piratées : les accès à distance laissés aux prestataires, une porte à surveiller ».
Contexte
- Victimes : trois pharmacies d’officine à Paris, Strasbourg et Dijon. La compromission de l’officine de Dijon est confirmée (plainte déposée) ; pour les deux autres, il s’agit de revendications. Nous ne les nommons pas.
- Date : entre le 31 octobre et le 3 novembre 2026 selon les sources.
- Type : intrusion par un outil d’accès à distance et vol de données de santé revendiqué (plus de 436 000 dossiers annoncés, non vérifiés), sans chiffrement signalé.
- Hypothèse principale : connexions ouvertes en permanence par un prestataire de tiers payant commun aux officines, selon l’éditeur de leur logiciel de gestion et le président de l’USPO (Le Moniteur des pharmacies, 5 et 6 novembre 2026). France Tiers Payant indique qu’une seule société serait concernée, sous réserve de l’enquête. L’éditeur rapporte aussi des connexions suspectes signalées par ce prestataire chez des officines équipées d’autres logiciels.
- Affaire distincte : Pharmagest reconnaît que 51 officines clientes avaient conservé, pour des sociétés tierces, des accès VNC insuffisamment sécurisés, après information et signature d’une décharge. Accès fermés à titre conservatoire le 6 novembre, aucune attaque détectée, coopération avec l’ANS et l’ANSSI, aucun lien avec les trois officines piratées selon l’éditeur (Cyberattaque.org, mise à jour du 9 novembre 2026). Le rapport CERTFR-2026-CTI-007 du CERT-FR et du CERT Santé décrivait déjà, de façon anonymisée, des accès VNC maintenus sous décharge chez un éditeur du secteur.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Connexions à distance d’un prestataire de tiers payant, ouvertes en permanence sur les postes (hypothèse de l’éditeur et de l’USPO, enquête en cours). | T1199 Trusted Relationship ; T1133 External Remote Services |
| Outil | Logiciels de prise en main à distance ; l’USPO cite TeamViewer, AnyDesk, RDP et VNC. Certains sont installés sans que le titulaire le sache, selon l’éditeur. | T1219 Remote Access Software |
| Authentification | Non documentée : réutilisation d’identifiants du prestataire, authentification faible ou absente ? | T1078 Valid Accounts (hypothèse) |
| Collecte | Sauvegardes de bases de données de l’officine (quatre sauvegardes revendiquées pour l’une d’elles). | T1005 Data from Local System |
| Exfiltration et revendication | Données revendiquées publiquement sous 48 heures ; échantillons analysés par un site spécialisé. | T1041 Exfiltration Over C2 Channel (hypothèse) ; revendication hors ATT&CK |
Faits techniques connus
- Le logiciel de gestion des trois officines impose, selon son éditeur, l’ouverture d’une session et un code temporaire pour ses propres interventions : la porte d’entrée supposée est donc un outil tiers, hors de sa maîtrise.
- Les échantillons analysés associent identité, numéro de sécurité sociale, mutuelle et, selon les revendications, ordonnances : des données de santé au sens du RGPD.
Ce qu’on ne sait pas
- L’identité du prestataire et le mécanisme exact d’accès (identifiants volés, absence d’authentification, faille de l’outil).
- Le périmètre réel : nombre de patients, autres officines touchées par le même chemin.
- La durée de présence des attaquants avant l’extraction.
Détection : par la revendication, pas par la supervision
Rien de public n’indique une détection interne. Les faits sont apparus avec les revendications des pirates et l’analyse d’échantillons par un site spécialisé, le 2 novembre. C’est typique des petites structures sans journalisation exploitée des outils de prise en main : la première alerte vient de l’extérieur. Pour les accès VNC de la seconde affaire, le risque était connu de l’éditeur depuis près de deux ans selon lui ; c’est un signalement public qui a déclenché la fermeture.
Questions d’audit ISO 27001:2022
- A.5.19 à A.5.22 Relations avec les fournisseurs : pour chaque prestataire qui se connecte au SI, le contrat fixe-t-il le mode de connexion (à la demande, compte nominatif, double authentification), la journalisation et le droit de contrôle ? L’organisme peut-il montrer la dernière revue de ces accès ?
- A.8.19 Installation de logiciels et A.5.9 Inventaire : existe-t-il une liste à jour des outils de prise en main à distance présents sur chaque poste, avec propriétaire et justification ? Comment un outil installé par un tiers est-il détecté ?
- A.5.15 Contrôle d’accès, A.5.18 Droits d’accès et A.8.5 Authentification sécurisée : les accès distants des tiers sont-ils désactivés par défaut, ouverts pour une intervention puis refermés, avec une preuve récente ?
- Clauses 6.1.3 e et 8.3, acceptation des risques : quand un risque est conservé à la demande du métier, est-il accepté formellement par son propriétaire, avec une mesure compensatoire et une date de réexamen ? Une décharge signée au profit d’un fournisseur ne vaut pas acceptation du risque au sens de la norme.
Piste complémentaire, A.8.15 Journalisation : les connexions des outils de prise en main sont-elles journalisées et conservées assez longtemps pour reconstituer une intrusion ?
Pistes de sensibilisation
- Pour les dirigeants : « qui peut se connecter à mes postes ? ». Atelier de 30 minutes avec le prestataire informatique : lister les outils de prise en main présents, qui les utilise, comment ils sont protégés. Support : les 10 mesures essentielles de Cybermalveillance.gouv.fr.
- Pour les équipes au comptoir : l’écran qui bouge tout seul. Une souris qui se déplace sans raison ou une fenêtre de prise en main inattendue se signale immédiatement, sans éteindre le poste.
À lire aussi : notre décryptage pour les dirigeants et notre bulletin de veille du 11 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.