Point Vision : numéros de Sécurité sociale de patients exposés chez un prestataire de prise de rendez-vous

Le 15 septembre 2026, Point Vision, réseau de centres d’ophtalmologie qui revendique environ 1,6 million de patients par an, a informé ses patients qu’une personne non autorisée avait accédé à l’environnement d’un prestataire chargé de la gestion de ses rendez-vous. Les données reconnues comme exposées associent l’identité, les coordonnées postales, électroniques et téléphoniques, et le numéro de Sécurité sociale. Le groupe précise que les dossiers médicaux, stockés séparément, ne présentent aucune trace d’accès, et indique avoir suspendu les accès du prestataire et imposé une réinitialisation des mots de passe des comptes patients.

Deux catégories restent dans une zone grise que l’enseigne a choisi de signaler plutôt que d’écarter : les motifs de rendez-vous et les mots de passe. Selon la notification, les traces laissées par l’attaquant ont été partiellement effacées, ce qui empêche de conclure avec certitude sur ce qu’il a consulté. Cette prudence est rare et mérite d’être relevée, car un motif de consultation en ophtalmologie peut révéler une pathologie, et la réinitialisation imposée des mots de passe montre que l’hypothèse d’une exposition est prise au sérieux.

Point Vision ne nomme pas son prestataire, mais sa politique de confidentialité désigne Alaxione comme gestionnaire d’agendas, Acuité l’identifie nommément comme la plateforme de rendez-vous visée, et l’ensemble des observatoires qui ont couvert l’incident font ce rapprochement. Le 20 août 2026, un attaquant avait revendiqué chez cet éditeur l’extraction de 6,8 millions de profils et de plus de 10 millions de rendez-vous, ce qu’Alaxione avait contesté en affirmant que seul un serveur de test sans données réelles avait été atteint (voir la fiche Alaxione). La notification de Point Vision, qui reconnaît un accès à l’environnement du prestataire exposant des numéros de Sécurité sociale réels, fragilise nettement cette version. Le 28 septembre, un vendeur sous un autre pseudonyme a mis en vente un second fichier attribué à l’éditeur en citant Point Vision parmi les centres concernés : Fuites Infos retrouve des patients du réseau dans treize tables de l’échantillon et tient désormais le lien avec la notification du 15 septembre pour établi, tandis que Cyberattaque.org rappelle que le périmètre exact devra être confirmé par les acteurs concernés ou les autorités, et ni Point Vision ni Alaxione n’ont confirmé publiquement ce rapprochement.

Il faut en revanche se garder de reporter sur Point Vision les chiffres de ces revendications. Les 6,8 millions de profils d’août et les 16,2 millions de personnes de fin septembre sont des chiffres d’attaquants qui portent sur l’ensemble des clients de l’éditeur, sans répartition par établissement, et Fuites Infos écrit que le nombre de patients de Point Vision concernés n’est pas connu. Le vendeur situe 67 des 168 centres dans le réseau Point Vision, nombre qui coïncide avec les 67 cabinets que le groupe revendique selon Acuité (rapprochement que nous faisons ici, aucune source ne l’établit), sans qu’aucune liste d’établissements ait été publiée, et un nombre de centres ne permet de toute façon pas de déduire un nombre de patients. Les échantillons comportent par ailleurs des enregistrements écrits jusqu’au 28 septembre, après l’avis aux patients du 15 septembre et la suspension des accès du prestataire : Cyberattaque.org y voit un renfort de l’hypothèse d’une extraction récente ou, au minimum, d’un jeu de données alimenté très tardivement, ce qui n’établit pas la date de l’extraction, et Point Vision n’a publié, à notre connaissance, aucun nouveau communiqué depuis. Aucun décompte propre à Point Vision n’existe à ce jour. Le cas illustre aussi le délai qu’introduit la sous-traitance : près d’un mois sépare la revendication visant l’éditeur de la notification adressée aux patients d’un de ses clients, qui en sont pourtant les premiers exposés.

Pour les patients concernés, le numéro de Sécurité sociale associé à l’identité complète est la donnée la plus exploitable, notamment pour des escroqueries se réclamant de l’Assurance maladie ou d’une mutuelle (faux remboursement, fausse carte Vitale à renouveler). Aucun organisme ne demande de coordonnées bancaires par SMS ou par courriel, et la réinitialisation imposée du mot de passe doit s’accompagner d’un changement partout où le même mot de passe était réutilisé. Attention enfin aux homonymies : le centre américain VisionPoint Eye Center, touché par une fuite distincte en 2024, est sans rapport avec le réseau français.