Six millions huit cent trente-cinq mille comptes patients auraient été dérobés sur la plateforme française Alaxione, spécialisée dans la prise de rendez-vous médicaux. Un pirate se présentant sous le pseudonyme Angel_Batistarevendique également l’extraction de plus de 10 millions de rendez-vous, selon la publication repérée par le site spécialisé French Breaches ce jeudi 20 août.
Une base de données vendue 5 000 dollars
Le fichier utilisateurs mis en avant par le pirate afficherait 6 835 489 entrées, un second regroupant plus de 10,1 millions de rendez-vous, certains remontant à 2009. Au total, l’auteur de la revendication affirme détenir environ 18 millions de lignes de données, représentant 12,8 Go, et propose l’ensemble à la vente pour 5 000 dollars sur un forum cybercriminel.
Selon les éléments publiés, les informations exposées iraient des identités et dates de naissance aux motifs de consultation, en passant par des messages privés, des données bancaires (IBAN, BIC) et environ 70 000 numéros de Sécurité sociale. Le pirate affirme avoir exploité une faille via un accès phpMyAdmin et avoir prévenu Alaxione deux jours avant la publication, sans recevoir de réponse.
Alaxione a confirmé avoir subi une intrusion, tout en contestant l’ampleur du vol. L’entreprise soutient que l’accès obtenu se limiterait à un serveur de test, dépourvu de données médicales réelles — une version que plusieurs éléments examinés par le site Cyberattaque.org viendraient nuancer. La présence d’un champ dans la structure de la base ne garantit toutefois pas qu’il soit renseigné pour chacun des millions d’enregistrements revendiqués.
Un secteur déjà fragilisé par des incidents à répétition
Cette affaire intervient après une série de compromissions ayant touché l’écosystème de la santé numérique françaiseen quelques mois à peine. Le logiciel Weda, utilisé par des dizaines de milliers de professionnels, avait été visé mi-novembre 2025. Quelques jours plus tard, la plateforme de téléconsultation MédecinDirect annonçait une intrusion touchant jusqu’à 323 000 patients. En février 2026, le ministère de la Santé confirmait le piratage du logiciel CegedimSanté, exposant les données administratives de 15 millions de Français, certaines assorties d’annotations médicales sensibles.
Plus en amont, l’incident impliquant les opérateurs de tiers-payant Viamedis et Almerys, révélé en janvier 2024, avait déjà touché plus de 33 millions de personnes, la plus vaste fuite de données de santé jamais recensée en France, selon la CNIL, qui avait alors ouvert une enquête conjointement avec l’ANSSI.
Une réaction officielle encore attendue
Ni la CNIL ni Alaxione n’ont communiqué publiquement sur le périmètre exact de l’incident au moment de la publication. Le principal risque identifié par les spécialistes reste le phishing médical ciblé : un message frauduleux s’appuyant sur l’identité réelle d’un praticien et la date d’un rendez-vous effectif peut se révéler particulièrement convaincant pour ses destinataires.
Cette révélation survient au lendemain d’annonces du Premier ministre Sébastien Lecornu, qui a exprimé mercredi 19 août sa volonté de créer une unité dédiée à la lutte contre les intrusions informatiques et le vol de données, dans un contexte déjà marqué par la fuite ayant touché l’administration fiscale française.
