L’accès à la messagerie professionnelle du CHU de Montpellier repose sur une authentification multifacteur couplée à un réseau interne segmenté par site. Pour un agent hospitalier, la connexion ne se résume pas à saisir un identifiant et un mot de passe : l’ordre des opérations, le type de réseau utilisé et le terminal choisi conditionnent le succès ou l’échec de chaque tentative.
Risques liés à la messagerie dans les établissements de santé
La messagerie constitue l’un des vecteurs de compromission les plus fréquents dans le secteur hospitalier. Selon l’AOCSI, une part significative des incidents de cybersécurité analysés dans les établissements de santé implique la compromission de comptes, et la messagerie figure parmi les canaux les plus exploités par les attaquants.
Ce constat a des conséquences directes pour les agents du CHU de Montpellier. Saisir ses identifiants sur un portail non officiel expose le compte à un vol immédiat. Les tentatives de phishing ciblent régulièrement les personnels hospitaliers avec des pages imitant l’interface de connexion.
L’ANSSI rappelle par ailleurs que la sécurité de l’accès distant ne dépend pas uniquement du mot de passe ou du MFA : les équipements utilisés pour se connecter comptent tout autant. Un agent qui accède à la messagerie du CHU Montpellier pour les agents via un lien trouvé hors des canaux officiels de l’établissement prend un risque que ni l’authentification multifacteur ni un mot de passe robuste ne peuvent compenser.
| Vecteur d’attaque | Risque pour l’agent | Protection principale |
|---|---|---|
| Phishing par e-mail | Vol d’identifiants via faux portail | Vérifier l’URL avant toute saisie |
| Session non fermée sur poste partagé | Accès au compte par un tiers | Déconnexion systématique |
| Connexion depuis un réseau non sécurisé | Interception des données échangées | Utiliser le réseau interne ou l’accès distant officiel |
| Application tierce non validée | Exposition des données de santé | Se limiter aux outils fournis par le CHU |
Enrôlement MFA sur le réseau interne du CHU Montpellier : le piège de la première connexion
Le point de blocage le plus courant survient lors de la toute première connexion. L’enrôlement MFA doit se faire depuis le réseau interne du CHU, c’est-à-dire en étant physiquement présent dans un service, connecté au réseau filaire ou au Wi-Fi professionnel de l’établissement.
Tenter d’activer le code à usage unique depuis un Wi-Fi invité, depuis son domicile ou via un partage de connexion mobile bloque la procédure. Le système ne renvoie pas toujours un message d’erreur explicite, ce qui pousse certains agents à multiplier les tentatives et à verrouiller leur compte.
Étapes concrètes pour un enrôlement réussi
- Se rendre dans son service, sur un poste connecté au réseau interne du CHU (filaire ou Wi-Fi professionnel, pas le réseau « invité »)
- Lancer la procédure d’association entre le compte professionnel et l’application d’authentification (type Microsoft Authenticator) en suivant les instructions affichées à l’écran
- Valider le code à usage unique généré par l’application pour confirmer l’enrôlement
- Une fois cette étape terminée sur le réseau interne, les connexions depuis l’extérieur deviennent possibles
Un enrôlement raté verrouille le compte sans avertissement clair. Si le blocage survient, la seule solution reste de contacter le support informatique du CHU pour réinitialiser la procédure.
Accès distant à la messagerie agent : réseau, terminal et arbitrages de sécurité
Une fois l’enrôlement MFA validé, l’accès depuis l’extérieur du CHU devient fonctionnel. La connexion s’effectue via le portail web officiel de l’établissement (accessible depuis l’extranet du CHU de Montpellier). Deux points méritent une attention particulière selon le terminal utilisé.
Poste personnel ou poste partagé
Sur un poste partagé (salle de soins, bureau de garde), le navigateur peut proposer d’enregistrer automatiquement le mot de passe ou conserver une session ouverte. Refuser l’enregistrement du mot de passe et fermer la session après chaque utilisation reste la seule parade fiable contre l’accès non autorisé au compte.
Sur un poste personnel à domicile, le risque est différent. L’agent maîtrise l’environnement, mais le réseau domestique n’offre pas les protections du réseau interne hospitalier. Utiliser exclusivement les accès distants fournis par le CHU (et non un moteur de recherche pour retrouver l’URL de connexion) limite l’exposition au phishing.
Accès mobile : commodité contre confidentialité
Consulter sa messagerie professionnelle depuis un smartphone est tentant pour un agent en mobilité entre plusieurs sites du CHU. Le choix entre navigateur mobile et application dédiée implique un arbitrage. L’application officielle offre un canal chiffré, tandis que le navigateur mobile dépend de la configuration du téléphone (mises à jour, certificats, absence de logiciels malveillants).
Dans les deux cas, le MFA protège la connexion initiale. La différence se joue sur la persistance de la session : une application peut maintenir un accès ouvert plus longtemps qu’un onglet de navigateur, ce qui augmente la fenêtre d’exposition si le téléphone est perdu ou volé.
Mot de passe expiré ou MFA désynchronisé : résoudre les blocages courants
Deux situations provoquent la majorité des appels au support informatique du CHU.
La première concerne l’expiration du mot de passe. Les politiques de sécurité hospitalières imposent un renouvellement régulier. Un agent qui ne s’est pas connecté depuis plusieurs semaines peut découvrir que son mot de passe n’est plus valide. Le renouvellement du mot de passe nécessite souvent un accès au réseau interne, ce qui oblige à se rendre physiquement sur site si la procédure de réinitialisation à distance n’a pas été préalablement configurée.
La seconde concerne la désynchronisation du MFA. Changer de téléphone, réinitialiser l’application d’authentification ou simplement désinstaller puis réinstaller celle-ci casse le lien entre le compte et le générateur de codes. La procédure de ré-enrôlement passe par le support informatique, qui vérifie l’identité de l’agent avant de débloquer le compte.
- Mot de passe expiré : se connecter depuis le réseau interne pour le renouveler, ou contacter le support si la réinitialisation à distance est indisponible
- MFA désynchronisé après changement de téléphone : contacter le support pour un ré-enrôlement
- Compte verrouillé après tentatives multiples : attendre le délai de déblocage automatique ou appeler le support
La messagerie du CHU de Montpellier repose sur un équilibre entre accessibilité et protection des données de santé. Chaque contrainte technique (enrôlement sur réseau interne, MFA, expiration du mot de passe) répond à une menace documentée dans le secteur hospitalier. Anticiper ces étapes, en particulier l’enrôlement initial et la sauvegarde de la configuration MFA lors d’un changement de terminal, évite la grande majorité des blocages signalés par les agents.
