Le CERT Santé, opéré par l'Agence du Numérique en Santé, a publié le 21 octobre 2026 une alerte sur le détournement de sessions Microsoft 365, une menace en forte progression dans le secteur de la santé. L'alerte s'appuie sur des analyses relayées par Health-ISAC en septembre 2026. Elle place les dirigeants parmi les cibles prioritaires. Elle rappelle aussi que la défense commence au moment où une personne décroche son téléphone.
Mis à jour le 21 octobre 2026.
Qu'est-ce que le détournement de session Microsoft 365 ?
Le détournement de session Microsoft 365 est une attaque dans laquelle un pirate récupère le jeton de connexion d'un utilisateur au moment où celui-ci s'authentifie, puis réutilise cette session depuis sa propre infrastructure. Le CERT Santé décrit un scénario en plusieurs temps. L'attaquant contacte la personne par téléphone ou par courriel en se faisant passer pour le support informatique. Il l'oriente vers un faux portail Microsoft 365, intercepte ses identifiants et sa validation de double authentification, puis rejoue la session sans avoir à se reconnecter. Il accède alors à la messagerie et aux espaces documentaires, et peut télécharger des documents et des courriels en grand nombre.
Pourquoi cette alerte concerne-t-elle d'abord les directions ?
Le CERT Santé cite les dirigeants parmi les cibles prioritaires de ces campagnes. Leurs accès ouvrent sur des documents sensibles, et leur position leur permet d'adresser des demandes crédibles au reste de l'établissement. L'une des campagnes décrites vise surtout les dirigeants : les attaquants les appellent en se présentant comme le support, puis les dirigent vers un faux portail d'enregistrement de la double authentification. Les conséquences listées par le CERT Santé vont de la fuite de données de patients ou de professionnels jusqu'à l'usurpation de l'identité de responsables et à l'extorsion. Un comité de direction a donc toutes les raisons de traiter ce sujet en réunion, au même titre qu'un risque financier ou juridique.
Que change l'absence de logiciel malveillant ?
L'alerte insiste sur un point : aucun logiciel malveillant n'est installé sur les postes. L'attaquant passe par des identités et des services cloud légitimes, et l'attaque peut passer inaperçue si la surveillance se limite aux postes et au réseau interne. Le CERT Santé précise aussi qu'une réinitialisation du mot de passe peut rester sans effet si les sessions et les jetons actifs ne sont pas révoqués. Tout se joue donc en amont, au moment où une personne de bonne volonté suit les consignes d'un faux collègue du support. Les équipes hospitalières ont l'habitude de rendre service et de répondre vite : c'est une qualité, et c'est précisément sur elle que s'appuie ce type d'attaque.
Que recommande le CERT Santé aux établissements de santé ?
Le CERT Santé formule sept recommandations :
- Identifier et protéger les comptes les plus sensibles.
- Adopter une authentification résistante au phishing.
- Sécuriser les procédures du support informatique.
- Appliquer le principe du moindre privilège.
- Surveiller les comportements anormaux dans le cloud.
- Intégrer à la réponse à incident la révocation des sessions et des jetons, l'analyse des activités cloud et l'évaluation des impacts.
- Sensibiliser les utilisateurs, en particulier ceux qui disposent d'accès sensibles, aux faux appels, aux demandes de réinitialisation de la double authentification, aux faux portails et aux outils de télémaintenance frauduleux.
Plusieurs de ces mesures relèvent de la DSI. Les deux dernières engagent toute l'organisation : la procédure du support doit être connue de chacun, et la sensibilisation doit intégrer les appels téléphoniques, comme le demande explicitement le CERT Santé.
Comment préparer ses équipes à ces nouveaux réflexes ?
La sensibilisation gagne à partir des situations décrites par le CERT Santé, comme l'appel d'un prétendu support qui évoque un incident ou une opération sur la double authentification. Un réflexe simple consiste à raccrocher, puis à rappeler le support par le numéro interne habituel. Le calendrier s'y prête : les budgets de formation des établissements repartent au 1er janvier, et le plan de développement des compétences 2027 se prépare maintenant.
Chez ARCADIA, c'est l'objet de notre formation « Cybersécurité et hygiène numérique en établissements de santé » : une journée de 7 heures pour travailler ces réflexes avec vos équipes. Elle peut être financée par l'OPCO Santé, l'ANFH ou le plan de développement des compétences de votre établissement. Retrouvez son programme dans nos formations conformité, cybersécurité et dispositifs, et l'ensemble de nos formations IA en santé.
Questions fréquentes
La double authentification protège-t-elle contre le détournement de session ?
Le CERT Santé rappelle qu'une double authentification validée ne garantit pas l'intégrité de la session : l'utilisateur peut la valider dans un parcours contrôlé par l'attaquant. Il recommande donc une authentification résistante au phishing.
Que faire si un compte Microsoft 365 est compromis ?
Changer le mot de passe peut être insuffisant. Le CERT Santé recommande de révoquer les sessions et les jetons actifs, de vérifier l'activité du compte, d'analyser les activités dans le cloud et d'évaluer les impacts.
Comment reconnaître un faux appel du support informatique ?
Le scénario décrit par le CERT Santé commence par un appel ou un courriel d'un prétendu support, qui évoque la double authentification ou un incident, puis renvoie vers une page de connexion. Toute demande de ce type mérite une vérification, par exemple en rappelant le support par le numéro interne habituel.
Qui former en priorité dans un établissement de santé ?
Le CERT Santé vise en priorité les personnes qui disposent d'accès sensibles, et cite les dirigeants parmi les cibles prioritaires. Une démarche de sensibilisation peut donc commencer par le comité de direction et les fonctions qui manipulent des documents sensibles.
Sources
- CERT Santé (Agence du Numérique en Santé), « Session hijacking Microsoft 365 : une menace en forte progression pour le secteur de la santé », 21 octobre 2026 : https://cyberveille.esante.gouv.fr/actualites/session-hijacking-microsoft-365-une-menace-en-forte-progression-pour-le-secteur-de-la
- Health-ISAC, lettre mensuelle d'octobre 2026, citée par le CERT Santé : https://health-isac.org/monthly-newsletter-october-2026/
Vous préparez le plan de développement des compétences 2027 de votre établissement ? Contactez ARCADIA pour organiser cette formation avec vos équipes.