Le PC de l'accueil est-il le maillon faible de votre cabinet médical ?

Pourquoi l'accueil est la porte la plus exposée

Le PC de l'accueil fait tout à la fois. Il gère l'agenda, lit la carte d'identité des patients, ouvre les mails des laboratoires, des mutualités et des fournisseurs, imprime, scanne, et sert souvent à chercher un numéro sur internet. Il reste allumé toute la journée, parfois avec une seule session pour toute l'équipe, sur un comptoir que les patients voient de près.

Pour un pirate, c'est le poste idéal : beaucoup de messages venus de l'extérieur, plusieurs personnes qui s'y relaient, peu de temps pour réfléchir entre deux patients, et un accès direct au logiciel du dossier patient. Un seul clic au mauvais endroit peut ouvrir la porte à tout le cabinet.

Ce que disent les chiffres en Belgique

Le Centre pour la Cybersécurité Belgique (CCB) a publié son bilan de l'année 2025 en mars 2026. Trois chiffres concernent directement l'accueil d'un cabinet :

• 144 comptes piratés : c'est le type d'incident le plus souvent signalé au CCB en 2025, surtout à cause d'identifiants volés.
• Près de 10 millions de messages suspects transférés à Safeonweb en 2025, selon les chiffres clés du CCB. L'hameçonnage (le faux message qui pousse à cliquer ou à donner un mot de passe) reste l'une des portes d'entrée les plus courantes.
• Cinq jours : c'est, en moyenne, le délai entre l'annonce d'une faille dans un logiciel et son exploitation par des pirates. Près d'un tiers des failles ont été exploitées en moins de 24 heures.

Le CCB décrit aussi une ruse en plein essor : amener l'utilisateur à lancer lui-même une commande malveillante. Le pirate n'a plus besoin de forcer la porte, c'est la personne devant l'écran qui l'ouvre, de bonne foi. Le même bilan compte 105 attaques par rançongiciel (un programme qui bloque les fichiers et réclame une rançon) en 2025.

Comment un clic à l'accueil devient le problème de tout le cabinet

Exemple, inventé pour illustrer. Un mardi matin, à l'accueil d'un cabinet de groupe fictif. Ce qui s'est passé :

1. La secrétaire cherche sur internet le numéro d'un laboratoire.
2. Le site affiche une fausse case « Vérifiez que vous n'êtes pas un robot », puis demande d'appuyer sur trois combinaisons de touches pour « terminer la vérification ». Rien ne se passe à l'écran.
3. En réalité, la page avait copié une commande en cachette, et ces touches l'ont lancée. Microsoft décrit cette technique, appelée ClickFix : le programme installé est souvent un voleur de mots de passe.
4. Les identifiants de la messagerie du cabinet, enregistrés dans le navigateur, partent avec.

Deux choses auraient changé l'histoire : une règle connue de toute l'équipe (aucun vrai site ne demande de taper des touches du clavier pour prouver qu'on est humain) et la double authentification sur la messagerie, qui complique l'usage d'un mot de passe volé.

Les huit gestes qui protègent l'accueil

1. Un compte par personne, sans droits d'administrateur

Chaque personne de l'accueil a son propre identifiant et son propre mot de passe, sur le PC comme dans le logiciel du dossier patient. On sait qui a consulté quoi, et un départ se règle en fermant un seul compte.

Les droits d'administrateur (ceux qui permettent d'installer des logiciels et de changer les réglages) restent réservés à la personne qui gère l'informatique. Le niveau Small du CyberFundamentals, le cadre de référence du CCB pour les petites structures, le dit clairement : personne ne doit disposer de ces privilèges pour les tâches quotidiennes.

2. Un écran qui se verrouille tout seul

Le PC se verrouille automatiquement après quelques minutes sans activité. Et l'équipe prend le réflexe de le verrouiller elle-même en se levant : touche Windows + L. Une seconde suffit, et un patient ne lit plus l'agenda ou le dossier d'un autre.

3. Un comptoir pensé pour la discrétion

Le CyberFundamentals demande de protéger physiquement les ordinateurs contre le vol et l'utilisation incorrecte. À l'accueil, cela donne :

• Un écran tourné pour qu'il ne soit pas lisible depuis le comptoir ou la file d'attente, ou un filtre de confidentialité.
• Une unité centrale et des ports USB hors de portée des patients et des accompagnants.

4. Des mises à jour automatiques, sur un Windows encore suivi

Le CCB recommande d'installer les mises à jour de sécurité dès qu'elles sont disponibles, et de les rendre automatiques. Avec des failles exploitées en cinq jours en moyenne, attendre « un moment calme » n'est plus une bonne idée.

Vérifiez aussi la version de Windows. Le support de Windows 10 a pris fin le 14 octobre 2025. Sans l'abonnement payant aux mises à jour de sécurité étendues (ESU), qu'une organisation achète par année et pour trois ans au maximum, le PC ne reçoit plus aucun correctif. Le PC de l'accueil, souvent le plus ancien du cabinet, est le premier à contrôler.

5. Un antivirus à jour et aucune clé USB inconnue

• Un antivirus à jour sur chaque appareil, PC de l'accueil compris.
• Aucune clé USB inconnue, comme le demande le CyberFundamentals : ni celle d'un patient, ni celle trouvée dans la salle d'attente.
• Des documents de patients apportés sur clé : convenez avec votre prestataire de les lire sur un poste à part, après analyse.

6. La double authentification sur la messagerie

La double authentification demande, en plus du mot de passe, une confirmation sur le téléphone. Le CCB la recommande partout où c'est possible, et toujours pour les accès à distance. Pour l'accueil, commencez par la boîte mail : les comptes piratés sont l'incident le plus signalé en Belgique.

7. Un PC pour le cabinet, et rien d'autre

Pas sur le PC de l'accueil :

• la messagerie personnelle ;
• les réseaux sociaux ;
• les logiciels téléchargés « pour dépanner ».

Chaque usage en plus est une porte de plus. Le CyberFundamentals conseille de n'installer que les logiciels nécessaires au fonctionnement de l'organisation.

8. Une consigne affichée et une fiche papier

Le CCB conseille de garder hors ligne, sur papier par exemple, qui contacter en cas d'incident et quelles informations lui donner. Affichez cette fiche près du PC, avec trois règles simples :

• Un message inattendu qui presse (facture, colis, mot de passe « expiré ») : on ne clique pas, on demande.
• Une page qui demande de taper des touches du clavier ou de coller quelque chose : on ferme la page.
• Un doute après coup : on prévient tout de suite. Une alerte rapide vaut mieux qu'un silence gêné.

Le check-up de l'accueil en dix minutes

Faites le tour avec la personne de l'accueil. Une seule réponse différente de celle attendue suffit pour mettre ce point en tête de la liste de la semaine.

Si quelqu'un a cliqué

Pas de panique, mais pas d'attente non plus. Dans l'ordre :

1. Isoler le PC : retirer le câble réseau ou couper le Wi-Fi. Ne pas l'éteindre : votre prestataire en aura besoin pour comprendre ce qui s'est passé.
2. Prévenir tout de suite la personne ou le prestataire qui gère votre informatique.
3. Changer les mots de passe du compte concerné depuis un autre appareil sain, en commençant par la messagerie.
4. Signaler : un message suspect se transfère à [email protected], et un incident peut être signalé au CCB.
5. Penser aux données des patients : si elles ont pu être vues ou copiées, le cabinet doit en principe notifier l'Autorité de protection des données dans les 72 heures après en avoir pris connaissance, via son portail.

Faire vérifier le PC de votre accueil→