Double authentification : la CNIL sanctionne un accès à distance mal protégé

Le 3 septembre 2026, la CNIL a rendu publique une amende de 500 000 euros prononcée contre l’Hôpital privé de la Loire. Au cœur du dossier : un accès à distance au dossier patient protégé par un simple identifiant et un mot de passe, sans double authentification ni VPN. Au-delà du secteur de la santé, cette décision fixe un repère pour toutes les entreprises : laisser un accès extérieur sans double authentification n’est plus un simple détail technique. Voici ce qu’elle change pour vous.

Ce que la CNIL a reproché à l’établissement

Selon la décision publiée par la CNIL (délibération du 21 juillet 2026), un attaquant s’est connecté au dossier patient informatisé de l’établissement pendant l’été 2025. Il a pu l’explorer pendant plusieurs jours et en extraire un volume important de données sans être repéré. Comme le détaille Next, il a utilisé les identifiants d’un médecin libéral rattaché à l’établissement. Les données de 524 867 patients et de 202 246 personnes de confiance sont concernées.

Au titre de l’article 32 du RGPD, qui impose de sécuriser les données, la CNIL a retenu trois manquements :

• Une authentification insuffisante : pour les utilisateurs externes, comme les médecins libéraux, la connexion ne passait ni par un VPN ni par une authentification multifacteur ;
• Des habilitations trop larges : les identifiants d’un seul compte donnaient accès aux données de tous les patients ;
• Aucun dispositif de détection : rien ne permettait de repérer rapidement une activité suspecte ni de déclencher une alerte.

Elle a également relevé un manquement à l’article 34, les personnes de confiance n’ayant pas été informées directement de la violation de données. Pour fixer le montant, la CNIL a notamment tenu compte de la méconnaissance de principes essentiels de sécurité et du nombre de personnes concernées.

Pourquoi votre entreprise est aussi concernée

L’article 32 du RGPD s’applique à toutes les entreprises, quelle que soit leur taille. Et le scénario est tout sauf exceptionnel : selon le rapport d’activité 2025 de Cybermalveillance.gouv.fr, le piratage de comptes en ligne arrive en tête des menaces qui touchent les professionnels (+45 %), et l’hameçonnage reste la première menace tous publics confondus (+70 %).

Un mot de passe peut être deviné, réutilisé d’un site à l’autre ou dérobé par un faux message. Avec la double authentification, il ne suffit plus : il faut aussi un second facteur, que l’attaquant n’a pas. Commencez par recenser tous vos accès depuis l’extérieur :

• La messagerie et les fichiers Microsoft 365 ;
• Les applications hébergées accessibles à distance ;
• Le VPN qui ouvre l’accès à votre réseau ;
• Les outils métiers en ligne : gestion commerciale, comptabilité, banque ;
• Les interfaces d’administration : pare-feu, enregistreur vidéo, site Web.

Activer la double authentification, partout

Une double authentification qui laisse des exceptions protège mal. Quelques règles simples :

• Activez-la pour tous les comptes, y compris ceux de la direction et des prestataires ;
• Privilégiez une application d’authentification sur smartphone plutôt que le SMS, plus facile à détourner ;
• Protégez en priorité les comptes à privilèges (administrateurs), en les séparant des comptes utilisés au quotidien ;
• Limitez les accès des prestataires au strict nécessaire, et dans le temps ;
• Supprimez sans attendre les comptes des personnes qui ont quitté l’entreprise.

Voir ce qui se passe : journaux, alertes, pare-feu

Le dossier de l’Hôpital privé de la Loire le montre : une intrusion qui dure plusieurs jours sans être vue aggrave fortement les conséquences. Il ne suffit pas de conserver des journaux de connexion, encore faut-il qu’ils déclenchent des alertes en cas de connexion inhabituelle (depuis un pays inattendu, en pleine nuit, ou avec un volume de données anormal).

Le pare-feu complète ce dispositif : il limite les services exposés sur Internet, et le VPN réserve l’accès à vos ressources internes aux utilisateurs authentifiés.

Pour que la double authentification soit bien acceptée, prévenez vos équipes à l’avance, déployez-la par étapes, accompagnez chacun lors de la première connexion, et prévoyez une procédure en cas de perte ou de changement de téléphone.

Vos accès extérieurs protégés, sans gêner vos équipes

La double authentification ajoute quelques secondes à une connexion, mais un mot de passe volé ne suffit plus, à lui seul, à ouvrir la porte. Nous vous aidons à la mettre en place sur les accès que la décision de la CNIL met en cause, en commençant par l’audit de votre réseau et de vos usages :

• Votre messagerie et vos fichiers : avec Microsoft 365, nous activons la double authentification et les règles d’accès, protégeons la messagerie et gérons les arrivées et les départs de collaborateurs, pour qu’aucun compte ne reste ouvert après un départ ;
• L’entrée de votre réseau : le pare-feu filtre les connexions entrantes et sortantes, détecte les tentatives d’intrusion et fournit les accès à distance sécurisés (VPN) de vos collaborateurs en télétravail ou en déplacement ;
• Un suivi dans la durée : mises à jour de sécurité, supervision et adaptation des règles du pare-feu quand votre activité évolue ;
• Vos postes et votre messagerie au quotidien : le Pack Sérénité comprend l’antivirus et l’antiphishing ; nous vérifions régulièrement les alertes de sécurité et, en cas d’attaque, nous intervenons pour la contenir et restaurer vos données ;
• Des équipes formées : nous accompagnons vos utilisateurs aux bons usages de Microsoft 365 et les sensibilisons, sur demande, aux bons réflexes face à l’hameçonnage.

Ces protections se complètent : c’est leur addition qui fait la différence, et elles forment ensemble notre offre de cybersécurité.

Vous voulez savoir quels accès de votre entreprise restent protégés par un simple mot de passe ? Parlons-en : l’équipe fait le point avec vous.