Panne de LGO : le plan B de l’officine en une heure

Un lundi, 9 h, l'écran du LGO reste figé et la file s'allonge devant le comptoir. La plupart des officines n'ont jamais écrit ce qu'elles feraient dans l'heure qui suit.

Panne de serveur, mise à jour qui tourne mal, prestataire défaillant, compte piraté, rançongiciel : le déclencheur change, le scénario reste le même. Plus de LGO, plus de caisse, plus d'accès à l'historique des patients, et une équipe qui improvise. Ce qui coûte le plus cher n'est pas l'incident lui-même, c'est l'absence de procédure pour les premières heures.

Pour un titulaire, la bonne nouvelle est qu'un plan B minimal tient sur une page et se prépare en une après-midi. Cet article en pose les bases : ce que coûte une journée d'arrêt, les cinq points où une officine est le plus fragile, ce que Winpharma, éditeur partenaire de Médiprix, propose déjà pour y répondre, et ce qu'il faut faire dans l'heure qui suit.

Une précision de méthode : Médiprix est partenaire de Winpharma, et l'article s'appuie en priorité sur ses ressources pour ce qui relève du logiciel et des sauvegardes. Pour la conduite à tenir en cas d'attaque et les obligations légales, les références restent les autorités (Cybermalveillance.gouv.fr, ANSSI, CNIL).

Lundi, 9 h : le scénario type et ce qu'il coûte

Le scénario est simple. À l'ouverture, le LGO ne démarre pas : serveur en panne, mise à jour ratée, coupure de connexion, ou message de demande de rançon. Les postes du comptoir sont bloqués, la caisse est liée au logiciel, la messagerie est inaccessible. Les patients chroniques arrivent avec leur ordonnance, les grossistes attendent la commande du matin, et personne ne sait qui appeler en premier.

Les données du CERT Santé de l'ANS donnent une idée de la durée. En 2025, 764 incidents de sécurité des systèmes d'information ont été déclarés par des structures de santé, et 288 d'entre eux, soit 38 %, ont contraint les établissements à passer en mode dégradé¹. Le mode dégradé a duré en moyenne une journée, avec plusieurs jours pour certains établissements¹. Les rançongiciels ne sont qu'une partie du tableau : 28 attaques de ce type ont été répertoriées en 2025, en baisse de 30 % sur un an¹. Précision utile : ce rapport ne détaille pas les pharmacies d'officine, il reflète surtout des établissements. Il donne un ordre de grandeur, pas une statistique officinale (à creuser).

Côté chiffre d'affaires, une journée se pèse vite. Le chiffre d'affaires moyen d'une pharmacie française a atteint 2,5 millions d'euros en 2025². Rapporté à environ 300 jours d'ouverture par an (hypothèse de calcul, à adapter à vos horaires), cela représente de l'ordre de 8 000 € de chiffre d'affaires par jour. Ce montant ne dit pas tout : il ne compte ni les patients partis chez un confrère, ni les heures de ressaisie, ni le temps passé à rassurer l'équipe. Il suffit pourtant à situer ce qu'une journée à l'arrêt met en jeu.

Le cas n'est pas théorique pour une officine. En mai 2017, une pharmacie du Puy-de-Dôme a vu une cyberattaque provoquer une « panne de LGO et de caisse » qui a perturbé son fonctionnement³. À l'inverse, une pharmacie de Juvignac (Hérault) a vu le serveur de son LGO chiffré par un rançongiciel : le serveur de secours a pris le relais, l'officine est restée ouverte, et tout était rétabli en fin de matinée après l'intervention de l'éditeur, sans perte de données selon le titulaire⁴. La différence tient à la préparation, pas à la nature de l'attaque.

Cinq points de fragilité à passer en revue

Les recommandations de prévention de la plateforme Cybermalveillance.gouv.fr (dispositif national d'assistance aux victimes) tiennent en une douzaine de mesures⁵. Pour une officine, cinq zones concentrent l'essentiel du risque.

1. Les accès

Un identifiant volé suffit à ouvrir une porte. En janvier 2024, l'attaque contre les opérateurs de tiers payant Viamedis et Almerys est partie de l'hameçonnage des identifiants d'un professionnel de santé⁶. Les mesures recommandées : mots de passe longs et uniques, double authentification pour les accès à distance (télémaintenance comprise), et droits d'accès limités à ce dont chacun a besoin⁵. Winpharma insiste de son côté sur le réglage fin des droits de chaque membre de l'équipe⁷, et propose un bureau à distance chiffré et authentifié pour consulter ses indicateurs hors de l'officine⁸. Une question à se poser : le compte administrateur du LGO est-il partagé par toute l'équipe ?

2. Les sauvegardes

C'est le point qui décide de la durée de l'arrêt. La recommandation est de réaliser des sauvegardes régulières, de garder des copies déconnectées du réseau, et de tester périodiquement la restauration⁵. La logique est simple : en cas d'attaque, la fiche réflexe demande de déconnecter aussi les sauvegardes branchées au réseau, car elles peuvent être touchées avec le reste. Chez Winpharma, le guide cybersécurité recommande une sauvegarde chaque soir avant de quitter la pharmacie, en alternant deux clés USB tous les deux jours, et présente la sauvegarde en ligne comme plus protectrice face aux rançongiciels⁷. Sur le poste serveur, la dernière copie de la base se trouve dans le dossier COPIE_DB du disque C:, dans un fichier dont le nom commence par WPS⁹ : regarder sa date prend dix secondes. Une sauvegarde jamais restaurée reste une hypothèse. Demandez à votre éditeur ou prestataire où elle se trouve, à quelle fréquence elle tourne, et quand elle a été testée pour la dernière fois.

3. Les postes

Postes du comptoir, du back-office, ordinateur du titulaire : chacun est une entrée possible. Les mises à jour de sécurité appliquées systématiquement, une protection de type antivirus ou EDR sur l'ensemble du parc et un pare-feu limitant les accès extérieurs font partie des mesures de base⁵. Winpharma propose pour cela winProtection, un antivirus supervisé à distance avec mise à jour quotidienne⁸. Son guide cybersécurité rappelle aussi qu'un système non mis à jour devient vulnérable et invite à anticiper le passage à Windows 11⁷ : vérifiez que vos postes tournent sur une version de Windows encore prise en charge par Microsoft. Pensez enfin aux usages parallèles : un outil d'IA utilisé sur un poste du comptoir sans règle claire est un autre sujet, couvert par la checklist des garde-fous IA proposée plus haut.

4. La messagerie

C'est la porte d'entrée la plus courante des tentatives d'hameçonnage, et c'est aussi là que circulent, trop souvent, des données de patients. Une messagerie piratée expose tout ce qui s'y trouve. Réglez la question en amont avec notre article sur les données patients par email, et prévoyez une adresse de secours accessible hors du réseau de l'officine.

5. Les prestataires

Votre officine dépend de l'éditeur du LGO, de l'opérateur de tiers payant, de l'hébergeur, du prestataire informatique. Quand l'un d'eux tombe, vous tombez avec lui : l'incident Viamedis et Almerys a concerné plus de 33 millions de personnes⁶. Avant de signer ou de renouveler un contrat LGO, regardez ce qu'il prévoit en cas de panne : délai d'intervention, sauvegardes, hébergement. Côté Winpharma, la réponse à la panne du serveur est le relais NonStop, qui bascule sur un poste auxiliaire⁸. Notre article sur le LGO à examiner avant de signer détaille ces points.

Winpharma : ce que votre LGO fait déjà pour votre plan B

Avant de bâtir un plan B de toutes pièces, regardez ce que votre éditeur fournit déjà. Winpharma, partenaire de Médiprix, regroupe sous le nom winSécurité quatre briques qui visent la continuité d'activité⁸. Elles ne remplacent pas un plan B écrit, mais elles en constituent la base technique.

• NonStop Serveur — en cas de panne du serveur principal, un poste auxiliaire prend le relais. La fonctionnalité est présentée comme gratuite, intégrée au logiciel et éprouvée depuis 1999⁸.
• winSauvegarde — sauvegarde automatique et chiffrée, externalisée hors de l'officine, avec des « capsules de récupération » pour accélérer la restauration⁸.
• Bureau à distance — accès chiffré et authentifié aux modules de gestion et aux indicateurs, même hors de l'officine⁸.
• winProtection — antivirus supervisé à distance par l'éditeur, avec mise à jour quotidienne⁸.

Le guide cybersécurité de l'éditeur ajoute les gestes du quotidien : « il est crucial d'effectuer une sauvegarde quotidienne de vos données »⁷, et la sauvegarde à distance est citée parmi les trois gestes de base, avec la fin de journée et la copie sur clé USB¹⁰. Winpharma résume l'enjeu ainsi : la question n'est plus « Est-ce que ça peut arriver ? », mais « Suis-je prêt si ça arrive ? »¹⁰.

Un témoignage publié par l'éditeur montre l'intérêt d'une copie hors de l'officine. Le 5 juillet 2020, l'incendie de la boulangerie voisine rend la pharmacie de Nathalie Comont, dans le Morbihan, inutilisable en quelques heures. Équipée depuis six mois d'une sauvegarde à distance, elle reprend son activité le lendemain avec du matériel préparé par l'éditeur, et retrouve son fichier patient, ses crédits et son historique¹¹. C'est un incendie, pas une cyberattaque, mais la leçon est la même : sans copie hors site, « vous ne redémarrez pas ».

Ce que couvre chaque brique dépend de votre contrat. Pour savoir ce qui s'applique à votre officine, faites préciser par écrit le périmètre de la sauvegarde, le délai de restauration, et le fonctionnement du relais NonStop selon la situation (panne matérielle ou attaque).

Le plan B minimal, en une heure

Un plan B n'a pas besoin d'être sophistiqué. Il doit tenir sur une page, être imprimé, et pouvoir être suivi par n'importe quel membre de l'équipe sans accès informatique. Voici une trame de la première heure.

• 0 à 10 min : qualifier — panne ou attaque ? Un message de rançon, des fichiers devenus inaccessibles ou renommés, des comptes inconnus orientent vers une attaque ; un serveur arrêté, une mise à jour ratée, une coupure d'électricité ou de connexion orientent vers une panne (notre lecture). Dans le doute, traitez la situation comme une attaque.
• 10 à 25 min : basculer en mode dégradé — ordonnances papier, liste des traitements chroniques en attente, caisse de secours. Si votre éditeur propose un poste de secours, c'est le moment de s'en servir. Ce qui touche à la sécurité du patient (historique, interactions) reste une décision du pharmacien.
• 25 à 40 min : appeler dans l'ordre — éditeur du LGO d'abord, puis prestataire informatique et, en cas d'attaque ou de doute, assureur si vous avez un contrat cyber. Le parcours d'assistance de 17cyber.gouv.fr peut aussi être sollicité⁵. Les numéros doivent figurer sur la fiche papier, pas dans une messagerie devenue inaccessible.
• 40 à 50 min : informer — l'équipe d'abord, puis les patients avec un message simple (délai, solution de repli), sans détail technique.
• 50 à 60 min : tracer — noter l'heure de découverte, les faits observés et les décisions prises, quelle que soit la cause. Ces notes serviront à l'éditeur, à l'assureur et, si besoin, aux autorités.

Si vous soupçonnez une attaque : trois réflexes en plus

• Isoler — couper la connexion Internet du réseau touché et déconnecter les machines atteintes, y compris les sauvegardes branchées au réseau. Ne pas éteindre les machines touchées, pour préserver les preuves en mémoire⁵.
• Ne rien réinstaller, ne pas payer — déposer plainte avant de réinstaller, et ne pas payer la rançon, car rien ne garantit la récupération des données⁵.
• Notifier — si des données personnelles sont concernées, la CNIL doit être notifiée dans les meilleurs délais, si possible sous 72 heures, lorsque la violation présente un risque pour les droits et libertés des personnes. L'incident est à consigner dans tous les cas, même s'il n'est pas notifiable¹².

Si des données ont pu sortir sans que rien ne s'arrête

Le LGO fonctionne, mais des données de patients circulent peut-être ailleurs : messagerie piratée, accès d'un prestataire compromis, fuite revendiquée sur un forum. Même sans panne, le réflexe est le même : prévenir l'éditeur et le prestataire, changer les accès concernés, consigner l'incident et évaluer avec la CNIL s'il faut notifier. Lorsque le risque pour les personnes est élevé, celles-ci doivent aussi être informées¹². Ce cas relève moins du LGO que de la messagerie et des prestataires (points 4 et 5 ci-dessus).

Cette trame est un point de départ : elle doit être adaptée à votre LGO, à vos contrats et à la taille de votre équipe. Cet article ne constitue pas un avis juridique.

Futur titulaire : ce qu'il faut vérifier avant de reprendre ou de créer

Si vous préparez une reprise, le plan B fait partie de ce que vous achetez, comme le matériel ou la clientèle. Si vous créez une officine, c'est l'occasion de le poser dès le premier jour, au moment où vous choisissez votre LGO et votre prestataire. Dans les deux cas, voici ce qu'il vaut mieux demander avant de signer.

• Le plan B existant — une fiche papier, des numéros à jour, et la preuve que l'équipe sait basculer en mode dégradé. L'absence de document est déjà une réponse.
• La sauvegarde et sa dernière restauration — où elle se trouve, à quelle fréquence elle tourne, et la date du dernier test. Une sauvegarde jamais restaurée reste une hypothèse.
• Les accès — la liste des comptes actifs sur le LGO, la messagerie et les postes, y compris ceux de l'ancien titulaire, des remplaçants et des prestataires. À revoir et à renouveler à la prise de fonction.
• Le contrat LGO et les prestataires — durée, délai d'intervention en cas de panne, conditions de reprise du contrat par le repreneur, et protection prévue (relais de secours, antivirus supervisé). À faire valider par votre conseil.
• L'historique d'incidents — pannes, tentatives d'hameçonnage, éventuelle déclaration à la CNIL : demandez ce qui s'est passé, et comment l'équipe a réagi.

Ces points complètent votre audit de reprise et votre choix d'éditeur : comparez ce que chacun, Winpharma comme les autres, prévoit par écrit.

Où trouver de l'aide, avant et pendant

L'Ordre des pharmaciens indique accompagner les officinaux face aux cyberattaques, avec des outils de prévention et de réaction, et rappelle que les pharmaciens doivent se former sur le sujet¹³. L'ANSSI publie de son côté un guide de référence, Attaques par rançongiciels, tous concernés, qui détaille les bonnes pratiques préventives et réactives¹⁴. À lire une fois au calme, pas pendant la crise.

Trois questions avant lundi prochain

• Où est la fiche papier ?
  Numéros de l'éditeur, du prestataire et de l'assureur, imprimés et connus de toute l'équipe, y compris des remplaçants.
• La sauvegarde est-elle testée ?
  Savoir où elle est stockée, à quelle fréquence elle tourne et quand elle a été restaurée pour la dernière fois. Futur repreneur : posez la question avant de signer.
• Le comptoir sait-il basculer ?
  Supports papier prêts, caisse de secours ou poste de secours identifié, message patient rédigé à l'avance.

À creuser : l'impact réel d'une panne de LGO sur une officine (les données publiques portent surtout sur des établissements), la durée de restauration observée selon les éditeurs, et le comportement des solutions de secours face à un rançongiciel. Pour en discuter avec des pharmaciens et préparer votre projet : Mediprix Corp.