Les pirates à l’abordage des e-pharmacies Trois mois après son lancement officiel, la vente en ligne de médicaments subit ses premiers revers. Des sites illicites ont été repérés et la présence de produits contrefaits plonge pharmaciens et patients dans la confusion.
E
n pleine trêve estivale, l’affaire a fait la une des médias : onze sites de pharmacies en ligne ont été piratés par des réseaux mafieux russes. Alerté par l’ordre national des pharmaciens, l’Office central de lutte contre les atteintes à l’environnement et à la santé publique (Oclaesp) identifie une trentaine puis une centaine d’URL de sites détournées (voir interview par ailleurs). Plus qu’un simple bug, le commerce électronique de médicaments montre ses limites techniques et des défaillances de sécurité pour le moins inquiétantes pour la santé des patients. « Il faut être très précautionneux avec les termes employés, insiste Cédric O’Neill, co-fondateur du site 1001Pharmacies. com. Ce ne sont pas des sites de pharmacies qui ont été piratés mais des noms tombés dans le domaine public. »
26 • Pharma N°105 • octobre 2013
60
C’est le nombre de sites autorisés pour la vente en ligne de médicaments référencés à l’heure actuelle sur le site de l’Ordre. Liste complète sur www.ordre. pharmacien.fr/ ecommerce/ search
En France, c’est l’Association française pour le nommage Internet en coopération (Afnic) qui gère cet aspect. Pour environ 10 € par an, vous pouvez déposer et exploiter un nom de domaine. « Le problème c’est qu’un certain nombre de pharmaciens décident, pour des raisons diverses, au bout de quelques années, de ne plus payer. Or, une fois libres, des noms comme lapharmacieducentre.fr ou lapharmaciedeleglise.fr sont la proie de pirates qui utilisent la notoriété du site pour vendre des produits contrefaits », précise Cédric O’Neill. Si le phénomène est nouveau pour la pharmacie, il ne date pas d’hier. Chaque jour, des dizaines de milliers de noms redeviennent ainsi libres. Un site (www.domaines-expires.com) en propose plus de deux millions expirés, dont 740 concernent la pharmacie. On y apprend que le nom pharmacie-village est disponible en .fr, .net, .com, .org ou .info
depuis le 12 juillet, tout comme la pharmacie-plateau-des-goyaves-saint-louis libre depuis le 27 juin dernier !
Des regroupements de pharmacies bientôt sur le Net ?
« La reprise des noms d’e-pharmacies par des organisations criminelles le prouve : le pharmacien n’a pas le temps ni les moyens de s’occuper de la maintenance et de la bonne tenue d’un site en ligne, constate Cédric O’Neill. Or le commerce électronique impose des compétences techniques et juridiques. Et je ne vous parle pas de la vente en ligne de médicaments sur des espaces sécurisés. » C’est pour renforcer la sécurité des sites et éviter une concurrence déloyale entre petites et grosses officines que 1001Pharmacies a déposé un recours devant le Conseil d’État pour lever la principale restriction de l’arrêté du 20 juin 2013 relatif aux bonnes
©© pn_photo – fotolia
sur le net
Sans mises à jour régulières, ces logiciels peuvent présenter, au bout de quelques semaines, des failles importantes. C’est ce qui s’est passé avec ce site légal. »
Un arsenal juridique efficace en France uniquement
• Le site www.domaines-expires.com recense 740 noms de domaine expirés qui comportent le terme « pharmacie ».
La vente en ligne ouvre une brèche dans un monopole pharmaceutique français jusqu’à présent imperméable et offre des opportunités juteuses aux réseaux criminels. Noëlle Tertrain, avocate
©© DURIS Guillaume – fotolia
pratiques de dispensation des médicaments par voie électronique : l’interdiction pour les pharmaciens de se regrouper sur Internet. Si un tel regroupement peut s’avérer une solution pour renforcer la sécurité, l’ordre national des pharmaciens plaide pour une autre mesure : le nom de domaine unique. Prévu dans le courant de ce mois d’octobre, le nom « pharmafrance.fr » sera ouvert à tous les sites de pharmacies en ligne qui le souhaitent. Il sera complété par le nom de l’officine et ne sera utilisable que par les professionnels inscrits à l’Ordre. Cette mesure de sécurité ne pourra en revanche pas grand-chose contre le piratage de site légal. Ce fut le cas récemment avec un site agréé par l’ARS victime d’un logiciel espion de type malware implanté sur sa page d’accueil. Lorsqu’un internaute se connectait, il était redirigé vers un site illicite qui lui proposait des médicaments contrefaits ou interdits. Après avoir été déréférencé par Google pendant plusieurs jours, le site est de nouveau opérationnel. « Les sociétés informatiques qui réalisent les sites des e-pharmacies s’appuient bien souvent sur des logiciels ‘open source’ gratuits, explique Alain Delgutte, président de la section A.
Pour Maître Noëlle Tertrain, avocate au barreau de Valence-Drôme, exerçant dans le droit de la santé, « le pharmacien dispose d’un véritable arsenal juridique pour se prémunir contre le piratage informatique. » En premier lieu, l’article 323-1 du code pénal interdit le fait d’accéder, de se maintenir ou de modifier un système informatique sans autorisation. Tout accès frauduleux peut être sanctionné par deux ans d’emprisonnement et une amende de 30 000 €. L’ordonnance du 19 décembre 2012 est venue compléter ce cadre juridique en instaurant de nouvelles sanctions aux articles L. 5421-13 et suivants du code de la santé publique relatifs à la fabrication, courtage, distribution, publicité, vente, importation de médicaments falsifiés. Les sanctions sont aggravées quand l’offre est faite par un réseau de télécommunication à destination d’un public non déterminé (ce qui est le cas d’Internet). L’ordonnance a également prévu des sanctions administratives à l’article L.5125-39 du code de la santé publique, qui autorise le directeur général de l’ARS à prononcer par exemple la fermeture temporaire d’un site pour une durée maximale de cinq mois en cas de manquement aux règles du commerce
électronique. « Le problème, observe Maître Tertrain, c’est que cet arsenal est efficace principalement en France. Il est beaucoup plus difficile de remonter à la source et de sanctionner les responsables de sites frauduleux lorsque ces derniers sont basés à l’étranger. Un pharmacien qui a vu son site piraté peut, dans le cadre d’une procédure pénale, porter plainte puis se constituer partie civile afin de demander réparation de son préjudice financier et/ou moral. Reste que si l’auteur de l’infraction ne peut être poursuivi car résidant à l’étranger, surtout s’il est basé en dehors de l’Union européenne, c’est peine perdue. » « Le pharmacien a la possibilité de faire valoir auprès de l’Afnic l’ancienneté de sa pharmacie physique par rapport au site Internet, complète Cédric O’Neill. En .fr, ça peut aller vite. En .com ou .org, les procédures sont plus longues. »
Vigilance accrue et bon sens
Pour aider pharmaciens et patients à reconnaître un site français autorisé, l’Ordre a publié sur son site une fiche mémo avec les informations devant figurer sur un site légal. « Il faut d’abord s’assurer que le site est agréé par l’ARS territorialement compétente, vérifier ensuite un certain nombre d’informations comme les nom, prénom et numéro RPPS du ou des pharmaciens responsables du site, l’adresse de l’officine, le numéro de Siret, le numéro de licence de la pharmacie… et le cas échéant bien contrôler que le site comporte des liens hypertextes renvoyant aux sites de l’Ordre, du ministère de la Santé et de l’ANSM », détaille Alain Delgutte. Pour Maître Tertrain, il en va des sites de vente de médicaments comme d’autres sites pratiquant une activité marchande sur le Net. « Il incombe au propriétaire du site de vérifier son contenu, d’effectuer des mises à jour régulières, des contrôles… Dès qu’il perçoit un comportement suspect, il faut immédiatement alerter l’ARS, qui bloquera le site. » Reste que la vente en ligne de médicaments n’est pas à prendre à la légère. « Les sites les plus vulnérables ne survivront pas, prédit Cédric O’Neill. Sur Internet, soit vous investissez dans un outil propre, ergonomique et sécurisé et vous vous développez, soit vous faites à l’économie et vous serez amené à disparaître. C’est le jeu. En Allemagne, 3 000 sites ont été créés quand le commerce électronique de médicaments s’est ouvert il y a dix ans. Seuls 50 sont rentables aujourd’hui. » Olivier Valcke
Suite en page 28 octobre 2013 • Pharma N°105 • 27
sur le net
3 questions au Colonel Bruno Manin, directeur de l’Oclaesp*
« Des milliers de sites frauduleux pullulent sur le Net »
©© D.R.
des truands qui se cachent derrière. On trouve par exemple des chefs d’entreprise qui veulent profiter d’un marché de niche pour développer leur business. Cela nous semble totalement inenvisageable avec notre culture du monopole pharmaceutique, mais il faut savoir qu’en Russie, la restriction « une pharmacie physique égale un site Internet » n’existe pas. Il n’y a pas de cadre juridique encadrant la dispensation par voie électronique, pas d’arrêté de bonnes pratiques, pas d’agrément de l’ARS… La Russie n’est pas un cas isolé. Des États membres de l’Union européenne comme le Royaume-Uni ou les PaysBas ont également des législations souples, voire laxistes, pour ce qui concerne la vente en ligne de médicaments. Aujourd’hui, on estime que 95 % des pharmacies en ligne ne respectent pas la législation française.
Pharma. Comment expliquer ce regain de sites illicites sur la Toile ? Colonel Bruno Manin. La menace des sites illicites et des médicaments contrefaits ne date pas d’hier. Pour rappel, en juin dernier, Interpol, l’Organisation mondiale des douanes, le Permanent Forum on International Pharmaceutical Crime et le Head of Medicine Agencies Working Group of Enforcement Officers ont coordonné l’opération Pangea VI, la plus vaste opération policière menée sur Internet. Près de 10 millions d’unités de médicaments contrefaits ont été saisis dans une centaine de pays et plus de 9 000 sites ont été fermés. Selon l’OMS, environ 50 % des médicaments vendus sur Internet seraient des contrefaçons. En France, on a l’impression que le phénomène est nouveau car l’autorisation de vendre des médicaments sans prescription sur Internet est récente. Mais un certain nombre
28 • Pharma N°105 • octobre 2013
de pharmaciens ont acheté des noms de domaine il y a plusieurs années pour être prêts le jour où la vente en ligne s’ouvrirait. Pris par leur activité, ils n’ont pas exploité le site en question, voire parfois oublié qu’ils avaient déposé un nom de domaine. Une fois tombés en déshérence, ces noms sont les cibles de gens mal intentionnés qui cherchent à faire du profit en écoulant des médicaments contrefaits. Il ne faut pas céder à la panique. Vu la réglementation qu’on impose aux pharmaciens français, je vois mal un titulaire mettre son diplôme en jeu pour s’adonner à la vente de contrefaçons. Le risque viendra toujours de l’extérieur, avec des sites édités en français qui semblent français mais qui sont en fait gérés de l’étranger. Qui se cache derrière ces sites illicites ? La presse a brandi le spectre des réseaux mafieux russes mais ce ne sont pas forcément
Ministère de la Santé, ARS, ordre des pharmaciens, douanes… on a du mal à savoir quelle est l’autorité compétente pour contrôler et sanctionner ces sites ? Tout dépend de la situation. Sous l’autorité du ministère de la Santé, les ARS vont gérer la partie réglementaire. Par exemple, une e-pharmacie qui n’est pas conforme ou ne répond pas au cahier des charges sera rappelée à l’ordre par l’ARS territorialement compétente. En revanche, s’il s’avère qu’elle commercialise des médicaments contrefaits, les douanes et la gendarmerie se saisiront de l’affaire. C’est ce qu’il s’est passé l’été dernier. L’Ordre nous a signalé la présence de sites frauduleux déjà repérés par nos cyber-patrouilleurs. Derrière ces sites se trouvait un hébergeur français. On a appelé cet hébergeur, qui a tout bloqué. En trois jours, l’affaire était terminée. Mais lorsque l’hébergeur est à l’étranger, c’est plus difficile. Il faut une bonne coopération avec les services de police locaux. Aujourd’hui, il y a des milliers de sites frauduleux qui pullulent. Une fois un site supprimé, il change son nom de domaine et continue son activité illicite. Par exemple, si nous bloquons pharmacieduvillage.fr, demain on trouvera à sa place pharmacieduvillages.fr et le surlendemain pharmacieduvillage.com, d’où la nécessité d’une coopération internationale pour démanteler les réseaux à l’origine de ces offres multiples. (*) Office central de lutte contre les atteintes à l’environnement et à la santé publique.