Officines : revoir les accès distants avant d’ajouter un lien de secours

Publié le 9 novembre 2026

Trois pharmacies, à Paris, Strasbourg et Dijon, ont été visées par un vol de données dont l’origine présumée n’est ni un courriel piégé ni une faille applicative, mais un accès à distance laissé ouvert en permanence pour la télémaintenance. L’épisode tombe au moment où nombre d’officines doublent leur accès Internet pour sécuriser la télétransmission, la monétique et les commandes aux répartiteurs. Doubler le lien ne doit pas doubler la surface d’exposition : c’est l’architecture des flux, entrants comme sortants, qu’il faut remettre à plat avant de câbler quoi que ce soit — y compris avec une solution de secours Internet pour officine.

Ce que révèle le piratage de trois officines

Les faits restent partiellement établis. Selon Egora (4 novembre 2026), trois pharmacies ont été piratées et les attaquants revendiquent les données de plus de 436 000 patients ; ces volumes proviennent des revendications des pirates et demandent confirmation. À Strasbourg, la fuite concernerait 110 000 patients d’une même officine, rapporte ICI Alsace le 9 novembre.

Le Moniteur des pharmacies précise la piste technique : les intrus auraient emprunté des connexions laissées ouvertes en permanence par un prestataire de gestion du tiers payant, destinées aux interventions sur les postes des officines. L’éditeur du logiciel de gestion écarte une faille de son système et rappelle qu’il impose, pour ses propres interventions, l’ouverture d’une session par le pharmacien et un code d’accès temporaire. Les investigations se poursuivent et aucune compromission n’est formellement établie.

La leçon d’architecture, elle, ne dépend pas de l’issue de l’enquête : un accès permanent, activable sans validation humaine côté officine, confère à un tiers — légitime ou non — les mêmes droits que le prestataire.

Télétransmission, paiement, répartiteurs : quels flux doivent survivre, et dans quel sens

La continuité de l’officine repose sur un petit nombre de services, et presque tous fonctionnent en sortie de l’établissement : télétransmission des feuilles de soins vers l’assurance maladie et les complémentaires, échanges du logiciel de gestion avec ses services hébergés, autorisation monétique du terminal de paiement, commandes et contrôles de disponibilité chez les répartiteurs, téléphonie en voix sur IP. Un routeur qui sort en translation d’adresses, sans aucune règle entrante, suffit à les faire vivre.

La télémaintenance, à l’inverse, a longtemps été construite en entrant : redirection de port vers le serveur du logiciel de gestion, voire exposition directe d’un service d’accès distant. Dresser la matrice des flux de l’officine permet de constater que la quasi-totalité des services vitaux n’exige aucune ouverture entrante, et que les rares exceptions sont des accès de prestataires, qui peuvent être reconstruits autrement.

Le CERT Santé, rattaché à l’Agence du numérique en santé, le documente dans sa fiche « Sécurisation de l’accès à distance des prestataires » : le prestataire passe par le bastion ou l’accès VPN de la structure, depuis son adresse IP publique, celle-ci faisant l’objet d’un filtrage côté structure ; son compte est désactivé par défaut et réactivé pour la durée nécessaire ; les connexions sont journalisées — identifiant, adresse IP, heure, durée. Pour la téléassistance, la fiche demande une validation manuelle de l’utilisateur à chaque ouverture de session, la désinstallation de l’outil après usage lorsque les interventions sont rares, l’absence de lancement automatique au démarrage dans le cas contraire, et la présence de la structure derrière l’écran pendant l’intervention. Elle recommande d’inscrire ces exigences dans les contrats.

Pourquoi l’ajout d’un lien de secours oblige à refaire l’inventaire

Un accès de secours, cellulaire ou satellite, ajoute une seconde interface publique au réseau de l’officine. Trois effets méritent attention.

• Les règles sont définies par interface. Une règle entrante posée sur la fibre ne protège rien sur le WAN mobile, et une règle oubliée sur le WAN mobile reste active même quand le lien principal fonctionne. L’audit se mène lien par lien, sur le routeur multi-liens lui-même, interfaces d’administration comprises — jamais exposées depuis l’extérieur.
• Les accès mobiles et satellite sont souvent livrés derrière une translation d’adresses opérateur, sans adresse IPv4 publique dédiée. Les flux entrants qui « fonctionnent » en nominal cessent alors de fonctionner en secours. Mieux vaut le découvrir lors d’un test de bascule planifié qu’un samedi matin : cette défaillance révèle, mieux qu’un audit sur document, quels services dépendent encore d’une ouverture entrante. La réponse n’est pas de réclamer une adresse publique sur le lien de secours, mais de faire migrer ces accès vers un canal sortant, initié et validé par l’officine.
• La bascule automatique ne dispense pas de surveillance. Un lien de secours qui prend la main sans que personne ne le sache masque la panne, change le chemin des flux sensibles et peut rester en service longtemps. La supervision du routeur et la journalisation des bascules font partie du dispositif, au même titre que le matériel.

Ce qu’il faut vérifier dès maintenant

1. Inventorier les outils de prise en main à distance installés sur chaque poste, y compris ceux posés par le prestataire de tiers payant, l’installateur des étiquettes électroniques ou le mainteneur de l’automate ; désinstaller les inutiles, désactiver l’accès sans surveillance sur les autres, renouveler leurs mots de passe.
2. Demander par écrit à chaque prestataire par quel canal il se connecte, depuis quelle adresse IP et avec quel compte, et exiger d’être prévenu avant chaque intervention.
3. Lister les redirections de ports configurées sur chaque interface WAN, supprimer celles qui ne correspondent plus à un besoin démontré, vérifier que les équipements de gestion, de vidéoprotection et de climatisation ne sont pas joignables depuis Internet.
4. Programmer un test de bascule en conditions réelles : télétransmission, autorisation monétique, commande chez le répartiteur, téléphonie, puis retour au lien principal.

En cas de violation de données personnelles, la notification à la CNIL intervient dans les 72 heures et le dépôt de plainte est recommandé sans attendre.

L’approche IQTHINGS pour les officines

IQTHINGS conçoit, installe et supervise des solutions de connectivité et intervient comme intégrateur. Pour les pharmacies, l’offre associe un lien satellite Starlink et un ou plusieurs liens 4G/5G — la fibre étant intégrée en formule TEO — reliés à un routeur multi-liens qui bascule automatiquement. L’équipement de référence est le Peplink B One Plus : deux ports WAN Gigabit, quatre ports LAN Gigabit, modem LTE double SIM, Wi-Fi 6. La supervision à distance et le support technique à distance de niveaux 1 et 2 sont inclus ; les débits annoncés sont indicatifs et non garantis. La vérification d’éligibilité et la configuration se font en ligne sur la page configurer son secours Internet. IQTHINGS sécurise l’accès réseau de l’officine et n’héberge pas de données de santé. Pour un échange sur l’architecture existante, la demande de devis permet d’ouvrir le dossier.

Questions fréquentes

Ajouter un lien 4G/5G ou satellite augmente-t-il le risque d’intrusion ?

Pas par nature : la piste documentée dans l’incident de début novembre renvoie à des accès distants permanents vers les postes, non au nombre de liens. En revanche, chaque interface WAN porte ses propres règles de filtrage ; elles doivent être revues une à une.

Faut-il demander une adresse IP publique fixe sur le lien de secours ?

Seulement si un flux entrant est réellement indispensable. La fiche du CERT Santé oriente vers l’inverse : le prestataire se connecte via le bastion ou le VPN de la structure, depuis une adresse IP publique identifiée et filtrée, sur un compte désactivé par défaut.

Comment savoir si le secours fonctionnera le jour venu ?

En le déclenchant volontairement et en rejouant les actes métier : télétransmission, paiement, commande, téléphonie. Un test documenté vaut mieux qu’une promesse de disponibilité.