Trois pharmacies piratées : l'accès à distance en cause, les gestes à faire tout de suite
Trois pharmacies de Paris, Strasbourg et Dijon ont été victimes de vols de données fin octobre 2026. La piste évoquée : un accès à distance laissé ouvert en permanence pour la télémaintenance liée au tiers payant. Ce que l'on sait, les règles du CERT Santé sur les outils de prise en main à distance, et qui prévenir en cas d'incident.
Trois pharmacies situées à Paris, Strasbourg et Dijon auraient été victimes de cyberattaques entre le 31 octobre et le 1er novembre 2026, selon des revendications de pirates relayées par la presse. Les données de plus de 436 000 personnes ou dossiers auraient été dérobées, avec des numéros de sécurité sociale, des données de mutuelle et des ordonnances ; ces chiffres proviennent des revendications des pirates et ne constituent pas un bilan confirmé. Selon des informations rapportées par un président de syndicat de pharmaciens, les pirates auraient profité d'une faille chez un même organisme de tiers payant, qui laissait des ports ouverts en permanence vers le logiciel de gestion de l'officine pour permettre la télémaintenance. Aucun communiqué officiel n'a été publié à ce stade. Le CERT Santé, rattaché à l'Agence du numérique en santé, fixe des règles pour les outils de prise en main à distance : activation uniquement après validation manuelle de l'utilisateur, désinstallation après usage si l'assistance n'est pas fréquente, pas de lancement automatique au démarrage, et présence de la structure derrière l'écran pendant l'intervention. En cas d'incident, la CNIL doit être notifiée sous 72 heures en cas de violation de données personnelles, et une plainte est recommandée sous 72 heures si le caractère malveillant est confirmé ; la fiche du CERT Santé prévoit aussi un signalement dès la détection, mais son service d'appui vise les établissements de santé et médico-sociaux, les laboratoires et les centres de radiothérapie, et ne cite pas les officines.
Trois pharmacies, à Paris, Strasbourg et Dijon, se sont fait voler leurs données fin octobre. La porte d'entrée évoquée n'est pas un virus ouvert par erreur au comptoir, mais un accès à distance laissé ouvert en permanence pour la télémaintenance. C'est le moment de vérifier les outils de prise en main à distance installés sur les postes de l'officine.
Ce que l'on sait
| Point | Selon la presse |
|---|---|
| Quand | Entre le 31 octobre et le 1er novembre 2026 |
| Qui | Trois pharmacies de ville, à Paris, Strasbourg et Dijon |
| Quoi | Plus de 436 000 personnes ou dossiers, avec des numéros de sécurité sociale, des données de mutuelle et des ordonnances |
| Fiabilité | Chiffres issus des revendications des pirates, qui ne constituent pas un bilan confirmé |
| Porte d'entrée présumée | Une faille chez un même organisme de tiers payant, qui laissait des ports ouverts en permanence vers le logiciel de gestion de l'officine pour la télémaintenance, selon des informations rapportées par un président de syndicat de pharmaciens |
À ce stade, aucun communiqué officiel n'a été publié sur ces attaques. Les investigations sont en cours.
Pourquoi c'est un risque pour toutes les officines
Les outils de prise en main à distance (AnyDesk, TeamViewer et équivalents) sont courants à l'officine : éditeur du logiciel, prestataire informatique, organisme de tiers payant les utilisent pour intervenir sans se déplacer. Le risque apparaît quand l'accès reste ouvert en permanence, sans que personne à l'officine n'ait à valider la connexion. Un pirate qui récupère cet accès entre alors comme le ferait le prestataire.
Les règles du CERT Santé
Le CERT Santé, rattaché à l'Agence du numérique en santé, a publié une fiche sur la sécurisation des accès à distance des prestataires. Pour la téléassistance, elle prévoit notamment :
- l'outil ne s'active qu'après une validation manuelle de l'utilisateur pour ouvrir la session ;
- si l'assistance n'est pas fréquente, l'outil est désinstallé après utilisation ; sinon, on vérifie qu'il ne se lance pas automatiquement au démarrage ;
- la structure reste derrière son écran pour contrôler les actions de l'intervenant ;
- elle doit pouvoir identifier avec certitude la personne qui demande l'ouverture de la session ;
- l'outil est maintenu à jour des correctifs de sécurité ;
- les connexions et les actions réalisées sont tracées ;
- le partage d'écran est préféré à la prise en main quand celle-ci n'est pas nécessaire.
La fiche recommande aussi d'inscrire ces exigences dans les contrats avec les prestataires.
Les gestes à faire tout de suite
- Faire l'inventaire des outils de prise en main à distance installés sur chaque poste, y compris ceux dédiés au tiers payant.
- Désinstaller ceux qui ne servent plus.
- Pour ceux qui restent : désactiver l'accès sans surveillance et imposer la validation manuelle de chaque connexion.
- Changer les mots de passe des outils conservés.
- Demander à chaque prestataire (éditeur, informaticien, organisme de tiers payant) comment il se connecte, et exiger d'être prévenu avant chaque intervention.
En cas d'incident : qui prévenir
| Qui | Quand | Comment, selon le CERT Santé |
|---|---|---|
| CERT Santé | Dès la détection de l'incident | Portail de signalement des événements sanitaires indésirables ; le CERT Santé accompagne la structure et informe l'ARS |
| CNIL | Sous 72 heures en cas de violation de données personnelles | Notification de violation de données (article 33 du RGPD) |
| Police ou gendarmerie | Si le caractère malveillant est confirmé, plainte recommandée sous 72 heures | Plainte en ligne |
La fiche du CERT Santé s'adresse d'abord aux établissements de santé et médico-sociaux : son service d'appui à la réponse à incident est ouvert à ces établissements, aux laboratoires de biologie médicale et aux centres de radiothérapie, et les officines n'y sont pas citées. La notification à la CNIL, elle, découle du RGPD et concerne toute structure qui traite des données personnelles.
À retenir
- Trois pharmacies piratées fin octobre ; plus de 436 000 dossiers revendiqués par les pirates, sans bilan confirmé.
- Piste évoquée : un accès à distance ouvert en permanence pour la télémaintenance liée au tiers payant.
- Règle du CERT Santé : validation manuelle de chaque connexion, désinstallation des outils inutilisés, présence derrière l'écran.
- En cas d'incident : CNIL sous 72 heures en cas de violation de données, plainte recommandée sous 72 heures ; le CERT Santé vise d'abord les établissements de santé.
À lire aussi sur Pharmactu :
À lire aussi
Cybersécurité en officine : ce que l'attaque Almerys nous oblige à mettre en place
La cyberattaque visant Almerys, prestataire de tiers payant de complémentaires santé, signalée à ses clients le 22 mai 2026, rappelle que l'officine fait partie d'une chaîne numérique exposée. Cybermalveillance.gouv.fr recommande des mesures essentielles : mots de passe longs, complexes et différents, gestionnaire de mots de passe et double authentification dès que possible ; sauvegardes régulières avec une copie sur un support externe débranché après la sauvegarde ; mises à jour de sécurité appliquées dès qu'elles sont proposées ; antivirus à jour ; méfiance envers les messages inattendus, à confirmer par un autre moyen ; séparation des usages personnels et professionnels. La CNIL recommande de prévoir des procédures de gestion des violations de données. En cas de violation présentant un risque pour les droits et libertés des personnes, le responsable du traitement doit la notifier à la CNIL au plus tôt et dans un délai maximal de 72 heures, et en cas de risque élevé informer les personnes concernées ; toute violation est consignée dans un registre interne. Pour l'assistance, 17Cyber.gouv.fr est le service public d'assistance en ligne gratuit des victimes de cybermalveillance, proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr. Le 0 805 805 817 est celui d'Info Escroqueries, plateforme du ministère de l'Intérieur dédiée aux escroqueries.
Cyberattaque d'Almerys : ce que les pharmaciens doivent anticiper au comptoir
Selon la complémentaire santé Alan, son prestataire de tiers payant Almerys l'a informée le vendredi 22 mai 2026 d'une cyberattaque ayant entraîné une fuite de données affectant l'ensemble de ses clients. L'incident serait dû à une intrusion frauduleuse sur le site de prise en charge d'Almerys, qui a été mis hors service. Les données concernées sont l'état civil (nom, prénom, date et rang de naissance), le numéro de sécurité sociale, les numéros de contrat, le nom de l'assureur et les dates de couverture. Ne sont pas concernés les informations bancaires, les coordonnées (adresse, téléphone, e-mail), les mots de passe et les informations de santé. Les services de tiers payant hors prise en charge restent fonctionnels ; en attendant la restauration de la plateforme, les professionnels de santé sont invités à adresser les demandes de prise en charge à Almerys par e-mail. Alan recommande une vigilance accrue face aux messages suspects.
Ségur numérique, vague 2 : la mise à jour de votre logiciel d'officine financée par l'État, ce que vous pouvez exiger de votre éditeur
Un arrêté du 29 octobre 2026, publié au Journal officiel du 3 novembre et en vigueur le lendemain, crée la vague 2 du programme de financement des logiciels de gestion d'officine (LGO) issu du Ségur de la santé, dans la continuité de la vague 1 lancée par un arrêté du 2 février 2022. L'État ne verse rien aux pharmaciens : il finance les éditeurs et distributeurs de logiciels qui réalisent la mise à jour dans les officines, à condition que leur logiciel soit référencé par l'Agence du numérique en santé (ANS), qui gère le dispositif et peut contrôler, retirer le référencement et exiger le remboursement des sommes versées. Selon le projet d'appel à financement publié par l'ANS en juillet 2026, dont la version définitive reste à mettre en ligne, la mise à jour se fait sans reste à charge pour l'officine. Elle comprend l'accès à Mon espace santé depuis le logiciel, l'envoi systématique des documents au DMP, l'INS, la messagerie MSSanté, l'ordonnance numérique, l'application carte Vitale et l'authentification forte par Pro Santé Connect, avec trois clés de sécurité fournies, une formation d'une heure au moins pour chaque utilisateur et la maintenance jusqu'à quatre ans. L'éditeur ne peut pas conditionner la commande à un réengagement ou à l'achat d'une autre option. Le financement est plafonné entre 918 et 1 285 euros TTC selon le chiffre d'affaires de l'officine. Selon la situation de l'officine, il relève soit d'une décision européenne sur les services d'intérêt économique général, soit du régime des aides dites de minimis ; dans ce second cas, le titulaire doit déclarer les autres aides du même type déjà reçues. Selon ce projet, les bons de commande doivent être signés dans les 19 mois suivant la parution de l'arrêté et la mise à jour réalisée dans les 27 mois.