Quand votre fournisseur est piraté : la leçon de l'attaque Chipsoft pour les pharmacies

Vous pouvez parfaitement sécuriser vos propres systèmes et tomber en panne à cause d'une intrusion chez quelqu'un d'autre.

C'est ce qui s'est produit en avril 2026, quand la cible n'était pas un hôpital mais un fournisseur de logiciels. Plusieurs hôpitaux belges ont dû mettre leur portail patient hors ligne. Pour une pharmacie, la situation est familière : votre officine s'appuie chaque jour sur des systèmes gérés par d'autres.

Ce qui s'est passé chez Chipsoft

En avril 2026, Chipsoft, un fournisseur de portails de soins et de dossiers patients électroniques, a été touché par une cyberattaque survenue chez l'un de ses propres fournisseurs de logiciels. Des hôpitaux comme le Ziekenhuis aan de Stroom à Anvers, le Ziekenhuis Oost-Limburg et l'AZ Delta à Roulers ont mis leur portail patient hors ligne par précaution. Les patients n'ont temporairement plus pu prendre rendez-vous ni consulter leur dossier. Les soins médicaux ont continué, mais les services numériques ont été momentanément paralysés.

Le détail essentiel : les hôpitaux n'avaient rien fait de mal. Le point faible se trouvait plus loin dans la chaîne, chez un fournisseur de leur fournisseur. Ce sont pourtant eux qui en ont subi les conséquences.

Pourquoi cela concerne aussi votre pharmacie

On parle ici d'une attaque par la chaîne d'approvisionnement (en anglais, supply-chain attack). L'attaquant ne s'introduit pas chez vous, mais chez une entreprise dont vous dépendez. Comme vos systèmes sont reliés à cette entreprise, vous partagez aussi les dégâts. Une pharmacie est particulièrement sensible à ces dépendances, car elle fonctionne grâce à une poignée de systèmes externes :

• Votre logiciel officinal. Le cœur de votre officine, livré et entretenu par une société externe disposant d'un accès à distance.
• L'automate de retrait. Un appareil qui communique via internet avec votre logiciel et avec le fournisseur.
• Votre webshop ou module de commande en ligne. Souvent hébergé et géré par un tiers.
• Les connexions avec le grossiste, les mutualités et eHealth. Chaque liaison est un fil vers l'extérieur.
• Vos logiciels de comptabilité et de personnel. Des solutions cloud où vos données sont chez un tiers.

Chacun de ces acteurs peut devenir une cible. Si l'un d'eux est touché, votre pharmacie peut s'arrêter ou vos données peuvent se retrouver dans la nature, sans que votre propre sécurité n'ait présenté la moindre faille.

L'attaque entre par un détour

Ce qui rend le cas Chipsoft si instructif, c'est que le risque est invisible dans votre travail quotidien. Vous ne voyez que votre écran et votre mot de passe. Les connexions en arrière-plan, et les entreprises qui se trouvent derrière, restent hors de vue. C'est précisément là que se situe l'angle mort : vous ne pouvez pas protéger ce que vous n'avez pas cartographié.

Vous êtes aussi sûr que le maillon le plus faible de votre chaîne. Une pharmacie parfaitement sécurisée avec un seul fournisseur vulnérable reste vulnérable.

Cinq questions à poser à vos fournisseurs

Vous n'avez pas besoin de devenir un expert IT. Vous devez seulement poser les bonnes questions à ceux qui fournissent vos systèmes. Ces cinq questions mettent le fournisseur au travail :

1. Qu'advient-il de ma pharmacie si vous êtes vous-même piraté ? Demandez leur plan d'urgence et le délai de remise en ligne.
2. Comment la liaison entre votre système et ma pharmacie est-elle sécurisée ? Le chiffrement et un accès limité devraient être la norme.
3. Qui m'avertit, et à quelle vitesse, en cas d'incident ou de fuite de données ? Sous le RGPD, chaque jour compte.
4. Travaillez-vous vous-même avec des sous-traitants, et sont-ils aussi sécurisés ? C'est ainsi que l'attaque Chipsoft est entrée par un détour.
5. Faites-vous tester votre sécurité de manière indépendante ? Demandez si des tests d'intrusion (attaques contrôlées) ont lieu régulièrement.

Ce que vous pouvez faire vous-même

Au-delà d'interroger vos fournisseurs, quelques habitudes limitent les dégâts :

• Dressez la liste de vos fournisseurs. Qui a accès à vos systèmes ou à vos données ? Sans vue d'ensemble, la sécurité est impossible.
• Prévoyez un plan B sur papier. Sachez comment tenir une journée si votre logiciel ou votre automate tombe en panne.
• Conservez des sauvegardes indépendantes de votre fournisseur. Vous ne dépendez ainsi pas entièrement d'un seul acteur.
• Activez l'authentification à plusieurs facteurs sur tout ce qui donne accès aux données patients, y compris les portails externes.

Une cyberattaque chez un fournisseur, vous ne pouvez pas l'empêcher vous-même, mais vous pouvez savoir qui sont vos partenaires de la chaîne et vous y préparer. Avec un CyberCheck, nous cartographions ces dépendances pour votre pharmacie et montrons où votre chaîne est la plus vulnérable. Demandez votre CyberCheck via info@cybermedical.be ou sur www.cybermedical.be.

Source : ITdaily, « Cyberaanval legt zorgportalen van verschillende Belgische ziekenhuizen tijdelijk plat » (10 avril 2026) ; VRT NWS.