MaQuestionMedicale : mises en vente revendiquées de messages de téléconsultation (environ 369 000 lignes) et de fichiers de comptes patients avec numéro de Sécurité sociale

Le 13 octobre 2026, trois médias spécialisés ont rapporté la mise en vente, sur un forum cybercriminel, de données attribuées à MaQuestionMedicale, un service de téléconsultation édité par une société lyonnaise, qui met en relation des patients et des professionnels de santé par échanges écrits et que Fuites Infos décrit comme utilisé aussi depuis des pharmacies. Cyberattaque.org, le premier à publier, décrit un fichier de 369 899 lignes de messages proposé par un vendeur se présentant sous le pseudonyme « Feel », et indique n’avoir eu accès qu’à un échantillon de 1 000 lignes. FrenchBreaches, dans l’après-midi, rapporte environ 369 000 messages échangés entre 2019 et 2026 et y ajoute trois fichiers de comptes patients, de liaisons avec des pharmacies et d’officines, présentés comme des éléments supplémentaires qui lui ont été transmis. Fuites Infos, en soirée, décrit pour sa part une annonce de ces trois fichiers seuls, sans reprendre le fichier de messages et sans nommer le vendeur ; aucun prix n’est affiché et le vendeur invite les acheteurs à faire une offre.

Ces volumes sont à manier avec prudence, car ils décrivent des revendications et qu’aucun n’a été vérifié de façon indépendante. Les trois médias ne se citent pas entre eux et chacun s’appuie sur ses propres extraits (1 000 lignes de messages pour Cyberattaque.org, 1 000 comptes pour Fuites Infos, des captures de taille non précisée pour FrenchBreaches), mais aucun ne peut attester l’authenticité des fichiers, et chaque ensemble de revendications n’est recoupé que par deux médias : les messages par Cyberattaque.org et FrenchBreaches, les fichiers de comptes, de liaisons et d’officines par Fuites Infos et FrenchBreaches. Les 369 899 lignes de Cyberattaque.org (environ 369 000 selon FrenchBreaches), dont la structure correspond à des messages ou à des objets liés aux téléconsultations, ne représentent pas autant de patients, pas plus que les 95 900 fiches patients et les quelque 81 400 enregistrements reliant patients et pharmacies cités par Fuites Infos et FrenchBreaches, qui ne s’additionnent pas en personnes (FrenchBreaches totalise environ 546 600 enregistrements et précise lui-même que ce total n’est pas un nombre de victimes). Les médias n’établissent pas non plus que les messages et les fichiers de comptes relèvent d’une même annonce ni d’une même faille : pour FrenchBreaches, la revendication initiale portait sur les messages et les trois autres fichiers sont des éléments supplémentaires, sans précision sur leur publication conjointe, avec un mécanisme d’extraction qui pourrait être commun ou relever de « plusieurs accès distincts », tandis que Fuites Infos ne décrit que les fichiers de comptes ; ces revendications sont donc présentées séparément ici. L’échantillon de Cyberattaque.org, seule source de ces chiffres à ce stade, comprend 553 messages attribués à des médecins et 447 à des patients, dont 278 avec une pièce jointe et plus de 200 mentionnant une ordonnance, mais 989 lignes datent de 2019 et 11 de 2020 : il ne permet donc pas de vérifier les années suivantes, jusqu’à 2026, que FrenchBreaches rapporte comme revendiquées. Le même média n’a téléchargé aucune pièce jointe et ne peut dire combien sont réellement accessibles.

Si ces fichiers sont authentiques, l’exposition est sérieuse à plusieurs titres. Des messages de téléconsultation relèvent du secret médical, et Cyberattaque.org dit avoir retrouvé dans son échantillon des messages sur des symptômes, des traitements, des prescriptions et des résultats d’examens, sans que les médias en reproduisent le contenu. Le numéro de Sécurité sociale, présent dans l’échantillon de 1 000 comptes examiné par Fuites Infos avec le nom, l’adresse électronique et le téléphone, et dont la plupart des numéros ont selon ce seul média un format valide, ne se change pas : combiné à une ordonnance ou à une consultation réelle, il permet de bâtir de faux messages de l’Assurance Maladie, d’une mutuelle, d’un médecin ou d’une pharmacie, d’autant plus crédibles qu’ils citent des détails exacts. Des numéros correspondant à des naissances récentes dans cet échantillon laissent penser, selon Fuites Infos, que des mineurs figurent dans les données ; FrenchBreaches signale en outre des champs prévus pour le nom et le NIR d’un enfant dans le fichier de liaison avec les pharmacies, et Fuites Infos évoque des champs relatifs à des enfants dans un fichier non publié, mais aucun des deux ne confirme qu’ils soient renseignés, de sorte que le risque ne s’étendrait aux familles que si cela se vérifiait. Les fiches d’officines contiendraient, selon FrenchBreaches, des identifiants professionnels (ADELI, SIRET) et un champ de coordonnées bancaires dont le contenu n’est pas confirmé, le fichier de liaison portant en outre les identifiants ADELI et RPPS de médecins ; Fuites Infos cite de son côté des SIRET et des IBAN d’officines. Ces données exposeraient pharmacies et praticiens à la sollicitation ciblée et, si les coordonnées bancaires sont valides, à la fraude au changement de RIB.

Au 14 octobre 2026, aucune réaction de MaQuestionMedicale n’a été retrouvée : Cyberattaque.org et Fuites Infos indiquaient qu’elle n’avait pas confirmé publiquement l’incident, FrenchBreaches ne relève aucune réaction, aucun avis d’incident ne figure sur la page d’accueil du service et aucun communiqué de l’éditeur n’a été repéré dans la presse ; aucun des trois médias ne documente de notification aux patients ni de déclaration à la CNIL (FrenchBreaches rappelle seulement le délai de 72 heures prévu par le RGPD). Les sources consultées ne désignent aucun hébergeur : la politique de protection des données de l’éditeur (version du 22 mars 2023, accessible publiquement), qui décrit les données comme stockées « sur nos serveurs », n’en nomme pas non plus, de sorte que l’on ne sait pas si les données de santé sont hébergées chez un hébergeur certifié HDS ni dans quelles conditions elles étaient conservées. Le statut reste donc « alléguée » : l’authenticité des fichiers, leur étendue, la période de l’intrusion et le mécanisme d’accès restent à établir, FrenchBreaches jugeant la revendication crédible sans pouvoir la confirmer.

Les personnes ayant utilisé le service, directement ou en pharmacie, peuvent demander à MaQuestionMedicale, par l’adresse de contact de sa politique de protection des données, si leur compte est concerné, et saisir la CNIL si la réponse est insuffisante. En attendant, la prudence consiste à se méfier de tout message, appel ou SMS se réclamant de l’Assurance Maladie, d’une mutuelle, d’un médecin ou d’une pharmacie, à ne jamais communiquer de numéro de Sécurité sociale, de code ni de coordonnées bancaires à un interlocuteur non sollicité, et à vérifier ses relevés pour contester sans attendre un prélèvement non autorisé (le délai est de 13 mois). Les courriels frauduleux se signalent à Signal Spam, les SMS et appels suspects au 33700, et cybermalveillance.gouv.fr propose une assistance gratuite en cas d’usurpation d’identité ; les parents veilleront aussi aux messages inattendus adressés à leurs enfants, et les pharmacies et professionnels de santé contrôleront par un canal indépendant toute demande de modification de coordonnées bancaires.