Alaxione : 6,8 millions de profils patients revendiqués en août, puis 16,2 millions de personnes par un autre vendeur fin septembre

Le 20 août 2026, un acteur agissant sous le pseudonyme « Angel_Batista » a revendiqué l’extraction d’une base attribuée à Alaxione, éditeur français de solutions de prise de rendez-vous et de relation patient utilisées par des professionnels de santé. L’annonce fait état de 12,8 Go de données et d’environ 18 millions de lignes, réparties entre 6,8 millions de profils d’utilisateurs, plus de 10,1 millions de rendez-vous et quelque 274 000 messages échangés. L’attaquant indique avoir d’abord contacté l’entreprise pour lui proposer de racheter le fichier, avant de le mettre en vente pour un peu plus de 4 000 euros après le refus de la direction.

Le périmètre décrit place cet incident parmi les plus sensibles de l’été : au-delà de l’identité et des coordonnées, l’échantillon contiendrait les motifs de consultation, les praticiens consultés, des données de mutuelle, des coordonnées bancaires au format IBAN et BIC, ainsi qu’environ 70 000 numéros de Sécurité sociale. Un rendez-vous médical n’est pas une donnée administrative neutre : il révèle une spécialité, parfois une pathologie, et il suffit à reconstituer un parcours de soins.

Alaxione a reconnu qu’une intrusion avait eu lieu, mais en conteste vigoureusement la portée en affirmant que l’accès s’est limité à un serveur de test ne contenant aucune donnée médicale réelle. Les éléments publics vont partiellement à l’encontre de cette lecture : les captures diffusées par l’attaquant montrent une interface phpMyAdmin sur un sous-domaine de préproduction, et l’analyse d’un échantillon de 1 000 lignes par Cyberattaque.org fait apparaître des informations d’apparence authentique, avec des adresses correspondant à des formats réels. Cette cohérence ne prouve pas pour autant que les millions de lignes annoncées soient toutes exploitables, d’où le statut « alléguée » retenu ici.

La question centrale reste celle du contenu d’un environnement de préproduction. Peupler une base de test avec une copie de production reste une pratique répandue, alors que le RGPD impose de minimiser les données utilisées à des fins de développement et que ces environnements bénéficient rarement du même niveau de surveillance que la production. Tant que l’éditeur n’aura pas publié le résultat de ses investigations, les personnes ayant pris rendez-vous via une solution Alaxione ont intérêt à traiter avec méfiance tout appel, SMS ou courriel se réclamant d’un cabinet médical, d’une mutuelle ou de l’Assurance maladie, en particulier lorsqu’il évoque un remboursement ou demande une confirmation de coordonnées bancaires.

Un mois plus tard, un premier client de l’éditeur a apporté un élément qui pèse contre la thèse du serveur de test. Le 15 septembre 2026, Point Vision a notifié à ses patients un accès non autorisé à l’environnement de son prestataire de prise de rendez-vous, exposant identité, coordonnées et numéros de Sécurité sociale réels. Point Vision ne nomme pas ce prestataire, mais sa politique de confidentialité désigne Alaxione comme gestionnaire d’agendas, et Cyberattaque.org avait déjà relevé dans les données revendiquées des alias d’adresses électroniques faisant référence à Point Vision. ZATAZ rapporte par ailleurs, comme un récit de l’attaquant d’août et non comme un fait établi, qu’une base complète portant la mention « tmp » aurait été importée dans l’instance de préproduction d’où l’extraction aurait été réalisée, tout en précisant que l’entreprise confirme cet accès en préproduction. Aucun de ces éléments ne constitue une confirmation par Alaxione, et le volume de 6,8 millions reste un chiffre d’attaquant, d’où le maintien du statut « alléguée » ; mais l’hypothèse d’une base sans données réelles devient difficile à soutenir.

Le 28 septembre 2026, un vendeur sous le pseudonyme « ChimeraZ », différent de celui d’« Angel_Batista », a mis en vente sur un forum cybercriminel un fichier qu’il attribue lui aussi à Alaxione, accompagné d’échantillons. L’annonce portait d’abord sur 7,2 Go et 8 597 658 fiches issues de 168 centres, puis a été révisée dans la nuit du 28 au 29 septembre à 54 Go, 65 658 246 lignes et 16 221 383 personnes, avec 568 737 numéros de Sécurité sociale, 9,6 millions de numéros de téléphone et 5,4 millions d’adresses électroniques distincts, le vendeur situant 67 de ces centres dans le réseau Point Vision. Ces 16,2 millions de personnes sont un chiffre du vendeur, qu’aucun observatoire n’a recalculé : les 31 fichiers examinés par Cyberattaque.org (30 550 lignes) ne permettent pas d’en confirmer le volume, la méthode de dédoublonnage n’est pas documentée, et Fuites Infos comme FrenchBreaches rappellent qu’une même personne peut figurer sur plusieurs lignes et dans plusieurs établissements, de sorte que les 65,6 millions de lignes ne se comptent pas comme autant de victimes. Cette annonce élargit la première sans s’y ajouter, et ne s’additionne pas non plus aux 6,8 millions d’août : ChimeraZ assure, selon ZATAZ, qu’il s’agit d’une autre base, tandis que Solutions Numériques note que rien ne permet d’établir s’il s’agit d’une nouvelle intrusion, d’une extraction plus complète du même incident ou d’une autre source, et le recoupement des deux jeux reste inconnu.

Les échantillons analysés par Fuites Infos et Cyberattaque.org décrivent des identités et des coordonnées, des numéros de Sécurité sociale qui n’apparaissent que sur quelques fiches sur mille selon Fuites Infos, ce qui rend le total de 568 737 revendiqué impossible à vérifier, des comptes patients en ligne dont les mots de passe sont stockés sous forme d’empreintes, des rendez-vous déplacés, des SMS de rappel et de confirmation avec des réponses de patients, ainsi que des échanges entre secrétariats et praticiens dont une partie évoque une ordonnance, un traitement ou une intervention, et des mineurs y figurent ; FrenchBreaches précise de son côté que les échantillons ne montrent ni diagnostics, ni prescriptions, ni résultats d’analyses, ni comptes rendus médicaux complets, et que les champs bancaires y sont vides. Fuites Infos note que les bases sont étiquetées comme des environnements de production, qu’elles contiennent des patients de Point Vision et que certaines écritures remontent au 28 septembre, soit après l’avis adressé aux patients le 15 septembre ; Cyberattaque.org y voit un élément qui renforce l’hypothèse d’une extraction récente ou, au minimum, d’un jeu de données alimenté très tardivement, ce qui n’établit pas la date de l’extraction. Au 29 septembre, Alaxione n’avait pas commenté ce lot, et ZATAZ, dont l’article a été mis à jour le 1er octobre, écrit que la société a récemment contacté ses clients pour les alerter du problème rencontré, sans citer de communication ni de date : cette mention reste isolée et ne vaut pas confirmation du lot. Nous n’avons trouvé, au 8 octobre, ni confirmation de l’éditeur ni communication d’une autorité, CNIL comprise, d’où le maintien du statut « alléguée » ; les personnes ayant pris rendez-vous dans un cabinet ou un centre équipé d’une solution Alaxione peuvent demander à leur établissement, responsable de traitement, s’il a été informé, et changer le mot de passe de tout compte patient en ligne ainsi que des comptes où il était réutilisé.

Le 8 octobre 2026, Cyberattaque.org a rapporté une nouvelle victime en cascade, l’Institut Ophtalmologique Sourdille Atlantique, établissement d’ophtalmologie de Loire-Atlantique. Le rattachement à Alaxione vient cette fois de l’Institut lui-même et non d’un observatoire : son site publie, en octobre 2026 (la page consultée n’indique pas le jour), un avis aux patients sur un « incident de sécurité » touchant son ancien prestataire de prise de rendez-vous en ligne, qu’il nomme, et qui évoque un vol de données survenu fin septembre 2026 sur l’infrastructure de l’éditeur, non sur les systèmes actuels de l’Institut. Les personnes concernées sont des patients ayant pris rendez-vous avant 2022, année depuis laquelle l’Institut confie ses rendez-vous en ligne à Doctolib, ce qui laisse entendre que l’éditeur conservait encore leurs données plus de quatre ans après la fin de la relation, et l’Institut dit avoir exigé d’Alaxione la confirmation de la destruction définitive des données historiques résiduelles. Selon l’avis, les données comprennent l’identité, la civilité, l’adresse postale, l’adresse électronique, le téléphone et la date de naissance, ainsi que le numéro de Sécurité sociale de 125 patients, sans dossier médical, dossier de soins ni pièce jointe. L’avis ajoute qu’Alaxione a déclaré l’incident à la CNIL, sans préciser de date, et qu’« un nombre restreint de fiches » aurait été compromis d’après l’éditeur, sans fournir de nombre total de patients. Ces deux éléments sont des propos de l’éditeur rapportés par l’Institut : nous n’avons trouvé, au 14 octobre 2026, ni communication publique d’Alaxione ni communication de la CNIL, ce qui maintient le statut « alléguée », même si c’est la première indication, de seconde main, que l’éditeur reconnaît lui-même une compromission de fin septembre. L’avis ne dit pas à quel lot se rattachent ces patients (celui d’août, celui du 28 septembre ou un autre) ni comment l’intrusion a eu lieu, et ils ne s’ajoutent à aucun des volumes revendiqués par les attaquants. Les anciens patients de l’Institut peuvent s’adresser à son délégué à la protection des données et rester vigilants face aux courriels, SMS et appels qui se réclameraient de l’Assurance maladie, d’une mutuelle ou de l’Institut, sans jamais communiquer de mot de passe ni de coordonnées bancaires.