Cyberattaque en pharmacie : la piste du tiers payant évoquée

Plusieurs signalements de cyberattaque en pharmacie ont circulé entre le 31 octobre et le 1er novembre 2026. Ils concernent des officines à Paris, Dijon et Strasbourg. À Dijon, le titulaire a confirmé l’incident et déposé plainte, selon les informations reprises par la presse. À Strasbourg, le chiffre de 110 000 clients vient d’une revendication. Les éléments publics disponibles ne permettent pas de confirmer le nombre de personnes touchées ni la nature exacte des fichiers.

Cyberattaque en pharmacie : trois signalements, une origine à établir

Une revendication donne un point de départ pour l’enquête. Elle ne permet pas à elle seule de savoir si les fichiers proviennent du système de l’officine, d’un logiciel auquel elle se connecte ou d’un autre acteur. Le chiffre annoncé mérite aussi d’être vérifié : une même personne peut apparaître dans plusieurs lignes, par exemple si elle a effectué plusieurs achats ou si le fichier contient des mises à jour. Business Times a déjà expliqué pourquoi une revendication de piratage ne suffit pas à confirmer une fuite.

Le président de l’Union des syndicats de pharmaciens d’officine (USPO) a évoqué la piste d’un prestataire de tiers payant, selon les informations rapportées par la presse. À ce stade, aucun élément public consulté n’établit qu’un même prestataire relie les trois dossiers. La proximité des dates ne démontre pas une intrusion commune. Il faut notamment comparer les accès, les journaux informatiques et les fichiers en cause.

Pourquoi le tiers payant entre dans les vérifications

Le tiers payant dispense le patient d’avancer tout ou partie de la somme prise en charge. Pour obtenir le règlement, la pharmacie transmet les informations nécessaires aux organismes concernés. Des intermédiaires peuvent intervenir dans ces échanges, selon l’organisation choisie par l’officine. Le guide de l’Assurance Maladie pour les pharmaciens présente le fonctionnement du dispositif.

En cas d’incident, la pharmacie doit pouvoir identifier les acteurs qui traitent ses données et les accès dont ils disposent. Ensuite, l’analyse peut distinguer un compte compromis, un accès distant détourné ou un export de fichiers. Les conséquences diffèrent selon le point d’entrée et les informations que cet accès permet de consulter. Dans un autre secteur, l’attaque contre le service VosFactures et ses effets sur les PME clientes a illustré le rôle des prestataires dans la continuité du travail.

Les patients doivent être informés si le risque est élevé

Les conséquences dépendent du contenu des fichiers. Une adresse électronique ou un numéro de téléphone peut faciliter une tentative d’hameçonnage. En outre, des renseignements sur des traitements, s’ils figurent dans les données exposées, pourraient aider un fraudeur à rendre son message plus crédible. Dans cette affaire, la présence de dossiers médicaux complets ou d’ordonnances n’a pas pu être vérifiée.

La CNIL détaille les règles de notification d’une violation de données. Le responsable du traitement doit documenter la violation. Si elle présente un risque pour les droits et libertés des personnes, il doit la notifier à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Si le risque est élevé, il doit en principe informer les personnes concernées sans délai injustifié. Un sous-traitant qui constate une violation doit prévenir le responsable du traitement sans délai injustifié.

Pour les officines, la priorité est donc d’établir quels fichiers ont été consultés ou copiés, à quelles dates et par quel accès. Pour les patients, une information de l’établissement concerné pourra préciser les données en cause et les suites à donner. Le nombre avancé dans une revendication ne permet pas de répondre à ces questions.