Un courriel qui imite celui d’un laboratoire, un appel urgent prétendument passé par le support informatique, une pièce jointe reçue avant une consultation : dans un secrétariat médical, une cyberattaque peut commencer par une situation tout à fait ordinaire. Or les agents d’accueil et les secrétaires médico-administratifs se trouvent au croisement des patients, des professionnels, des logiciels métiers et de nombreux échanges de documents.
Les chiffres publiés en 2026 confirment que le risque n’est pas théorique. Le CERT Santé a recensé 764 incidents de sécurité déclarés en 2025 par 606 structures. L’ANSSI indique de son côté que la santé représentait 10 % des incidents portés à sa connaissance la même année. Pour les futurs secrétaires assistants médico-administratifs, la cybersécurité devient donc une compétence professionnelle concrète : il ne s’agit pas de remplacer le service informatique, mais de reconnaître une situation anormale, de protéger les données et d’alerter sans attendre.
Pourquoi les secrétariats médicaux sont directement concernés
Le secrétariat traite des identités, des coordonnées, des rendez-vous, des courriers, des comptes rendus et parfois des informations administratives ou médicales nécessaires à la prise en charge. Ces données sont sensibles et leur indisponibilité peut aussi perturber fortement l’activité : agenda inaccessible, impossibilité de retrouver un dossier, appels en cascade ou transmission de documents interrompue.
Le poste est également très exposé aux sollicitations extérieures. Téléphone, messagerie, formulaires, plateformes de rendez-vous et échanges avec des partenaires créent de nombreux points de contact. Un attaquant peut chercher à exploiter l’urgence, la confiance ou la peur de bloquer le parcours d’un patient.
Cela ne signifie pas que le secrétaire porte seul la responsabilité de la sécurité. La protection du système d’information relève d’une organisation collective associant la direction, les responsables informatiques, les éditeurs, les professionnels de santé et tous les utilisateurs. En revanche, les pratiques quotidiennes de chacun peuvent empêcher une tentative d’aboutir ou limiter ses conséquences.
Une menace installée dans les secteurs sanitaire et médico-social
Le rapport 2025 de l’Observatoire des incidents du CERT Santé, publié en mai 2026, décrit un volume d’incidents quasiment stable par rapport à l’année précédente, mais souligne que la menace fait désormais partie du quotidien des établissements. Le nombre de structures ayant déclaré au moins un incident progresse, avec une hausse particulièrement marquée dans le médico-social. Le recul des incidents majeurs est encourageant, sans supprimer le besoin de vigilance.
Cette mobilisation se traduit aussi dans le programme national CaRE, consacré à la cybersécurité des établissements de santé et médico-sociaux. Son axe de sensibilisation vise explicitement les professionnels de santé et les personnels administratifs. Le message est clair : la sécurité numérique ne concerne pas uniquement les techniciens.
En juin 2026, le CERT Santé a par ailleurs attiré l’attention sur des campagnes d’hameçonnage capables de contourner certaines protections d’authentification multifacteur. La double authentification reste utile, mais elle ne dispense pas de vérifier la page sur laquelle on saisit ses identifiants ni de signaler une demande inhabituelle.
Les attaques qui peuvent viser un secrétariat médical
L’hameçonnage par courriel ou SMS
Le message cherche à provoquer une action rapide : ouvrir une facture, consulter un résultat, réinitialiser un mot de passe ou se connecter à un espace professionnel. L’adresse d’expédition peut sembler crédible et le vocabulaire imiter celui d’un partenaire connu.
Les signaux d’alerte sont notamment une urgence inhabituelle, une adresse légèrement différente de celle du véritable organisme, un lien dont la destination ne correspond pas au texte affiché, une pièce jointe inattendue ou une demande d’identifiants.
La fraude par téléphone
Une personne peut se présenter comme un technicien, un prestataire ou un professionnel pressé et demander un code, une manipulation ou l’installation d’un outil. La connaissance du nom d’un collègue ou d’un logiciel ne prouve pas l’identité de l’appelant : ces informations peuvent être publiques ou avoir été récupérées auparavant.
Le vol ou le partage d’identifiants
Un compte partagé empêche d’attribuer correctement les actions. Un mot de passe communiqué à un collègue, saisi sur une fausse page ou conservé à proximité du poste peut permettre un accès illégitime. La traçabilité perd alors une grande partie de son utilité.
L’erreur de destinataire
Toute violation de données ne résulte pas d’une attaque sophistiquée. Une adresse sélectionnée trop vite, une mauvaise pièce jointe ou un document remis au mauvais patient peuvent divulguer des informations confidentielles. La cybersécurité inclut donc aussi la rigueur documentaire.
Huit réflexes à maîtriser au quotidien
1. Utiliser uniquement son compte personnel
Les identifiants et moyens d’authentification ne se prêtent pas. Chaque professionnel utilise le compte qui lui a été attribué et respecte les habilitations liées à ses missions. Un accès trop large ou devenu inutile doit être signalé au responsable compétent.
2. Verrouiller son poste dès que l’on s’éloigne
Un accueil peut être interrompu à tout moment. Verrouiller l’écran, fermer une application après usage et ne pas laisser de document sensible visible réduisent les risques d’accès accidentel ou malveillant.
3. Examiner le contexte avant de cliquer
Avant d’ouvrir un lien ou une pièce jointe, il faut se demander si le message était attendu et si la demande correspond aux habitudes de l’expéditeur. En cas de doute, mieux vaut contacter l’organisme par un numéro ou une adresse déjà connus, sans utiliser les coordonnées fournies dans le message suspect.
4. Ne jamais transmettre un mot de passe ou un code temporaire
Un service d’assistance légitime n’a normalement pas besoin de connaître le mot de passe de l’utilisateur. Une demande de code de validation, y compris par téléphone, doit faire interrompre l’échange et déclencher une vérification par le canal interne prévu.
5. Vérifier le patient, le document et le destinataire
Avant tout envoi, trois contrôles sont indispensables : s’agit-il du bon patient, du bon document et du bon destinataire ? Cette courte pause protège la confidentialité et rejoint les exigences d’identitovigilance propres au secteur.
6. Employer les canaux autorisés par la structure
La CNIL rappelle qu’une messagerie électronique ordinaire et le fax ne constituent pas, par principe, des moyens sûrs pour transmettre des données de santé. Le professionnel doit utiliser les outils sécurisés et les procédures retenus par son établissement, sans basculer vers une messagerie personnelle ou un service grand public pour gagner du temps.
7. Signaler rapidement l’anomalie
Un clic sur un lien suspect, un mot de passe saisi par erreur, une pièce jointe ouverte ou un document envoyé au mauvais destinataire doivent être signalés immédiatement. Cacher l’erreur fait perdre un temps précieux. L’alerte permet aux personnes compétentes d’évaluer le risque, de protéger le compte et de limiter la propagation.
8. Connaître la procédure en mode dégradé
Lorsqu’un logiciel ou le réseau devient indisponible, il ne faut pas improviser une organisation parallèle. Les établissements prévoient généralement des consignes pour maintenir l’accueil, noter les informations indispensables, prioriser les urgences et réintégrer ensuite les données. Le secrétaire doit savoir où trouver ces consignes et à qui remonter les difficultés.
Que faire face à un message suspect ?
Le bon réflexe peut se résumer en quatre verbes : s’arrêter, vérifier, conserver, alerter.
- S’arrêter : ne pas cliquer, ne pas répondre et ne pas poursuivre la manipulation demandée.
- Vérifier : contrôler l’expéditeur par un canal connu et examiner le contexte de la demande.
- Conserver : ne pas supprimer immédiatement les éléments si la procédure interne demande de les transmettre pour analyse.
- Alerter : prévenir le responsable ou le support désigné en décrivant factuellement ce qui s’est passé.
Si une action a déjà été effectuée, il faut le préciser sans minimiser ni dramatiser : heure du clic, informations saisies, fichier ouvert et comportement observé. La rapidité et la précision du signalement sont plus utiles que la recherche d’une solution improvisée.
Accès au dossier patient : rester dans le périmètre de sa mission
La cybersécurité ne se limite pas aux attaques venant de l’extérieur. La CNIL rappelle que l’accès au dossier patient informatisé doit être limité aux personnes qui ont besoin des informations pour exercer leurs fonctions. Pour un agent chargé de l’accueil, l’accès doit correspondre aux données nécessaires à la gestion administrative et non à l’ensemble du dossier médical.
Consulter un dossier par curiosité, utiliser la session d’un collègue ou contourner une habilitation n’est jamais anodin. Les accès peuvent être journalisés. Les droits individualisés protègent à la fois le patient, l’établissement et le professionnel, à condition que chacun respecte le périmètre qui lui a été attribué.
Une compétence à construire pendant le TP SAMA
La cybersécurité prend sens lorsqu’elle est reliée aux situations de travail : accueillir un patient, vérifier une identité, mettre à jour un dossier, transmettre une information, gérer un agenda ou répondre à une demande pressante. Elle mobilise des compétences centrales du métier de secrétaire assistant médico-administratif : rigueur, discrétion, organisation, communication et respect des procédures.
La formation TP Secrétaire assistant médico-administratif d’ESSAP prépare à l’accueil et à la prise en charge administrative du patient, ainsi qu’au suivi médico-administratif du dossier. La vigilance numérique s’inscrit dans ces activités, au même titre que l’identitovigilance et la confidentialité.
Pour comprendre les services et les identités numériques qui structurent cet environnement, deux sujets complémentaires peuvent être consultés : Mon espace santé et le DMP, puis Pro Santé Identité et les accès du personnel administratif.
À retenir
En 2026, les incidents recensés dans les secteurs sanitaire et médico-social confirment que la cybersécurité est une réalité de terrain. Le secrétaire médico-administratif n’a pas à résoudre seul une attaque, mais il joue un rôle décisif dans la prévention et l’alerte.
Utiliser son compte personnel, vérifier avant de transmettre, reconnaître une tentative d’hameçonnage, respecter ses habilitations et signaler rapidement une erreur sont des compétences professionnelles à part entière. Elles contribuent à protéger les données, la continuité de l’accueil et la confiance des patients.
Sources utiles
- CERT Santé – Observatoire des incidents, rapport 2025 publié en mai 2026
- ANSSI – Panorama de la cybermenace 2025, publié en mars 2026
- Agence du Numérique en Santé – Programme CaRE, axe sensibilisation
- CERT Santé – « Adversary in the middle », une menace croissante dans le secteur de la santé
- CNIL – Sécurité des données de santé
- CNIL – Sécurité et confidentialité de l’accès au dossier patient informatisé