Alaxione : 6,8 millions de profils patients revendiqués sur une plateforme de rendez-vous médicaux

Le 20 août 2026, un acteur agissant sous le pseudonyme « Angel_Batista » a revendiqué l’extraction d’une base attribuée à Alaxione, éditeur français de solutions de prise de rendez-vous et de relation patient utilisées par des professionnels de santé. L’annonce fait état de 12,8 Go de données et d’environ 18 millions de lignes, réparties entre 6,8 millions de profils d’utilisateurs, plus de 10,1 millions de rendez-vous et quelque 274 000 messages échangés. L’attaquant indique avoir d’abord contacté l’entreprise pour lui proposer de racheter le fichier, avant de le mettre en vente pour un peu plus de 4 000 euros après le refus de la direction.

Le périmètre décrit place cet incident parmi les plus sensibles de l’été : au-delà de l’identité et des coordonnées, l’échantillon contiendrait les motifs de consultation, les praticiens consultés, des données de mutuelle, des coordonnées bancaires au format IBAN et BIC, ainsi qu’environ 70 000 numéros de Sécurité sociale. Un rendez-vous médical n’est pas une donnée administrative neutre : il révèle une spécialité, parfois une pathologie, et il suffit à reconstituer un parcours de soins.

Alaxione a reconnu qu’une intrusion avait eu lieu, mais en conteste vigoureusement la portée en affirmant que l’accès s’est limité à un serveur de test ne contenant aucune donnée médicale réelle. Les éléments publics vont partiellement à l’encontre de cette lecture : les captures diffusées par l’attaquant montrent une interface phpMyAdmin sur un sous-domaine de préproduction, et l’analyse d’un échantillon de 1 000 lignes par Cyberattaque.org fait apparaître des informations d’apparence authentique, avec des adresses correspondant à des formats réels. Cette cohérence ne prouve pas pour autant que les millions de lignes annoncées soient toutes exploitables, d’où le statut « alléguée » retenu ici.

La question centrale reste celle du contenu d’un environnement de préproduction. Peupler une base de test avec une copie de production reste une pratique répandue, alors que le RGPD impose de minimiser les données utilisées à des fins de développement et que ces environnements bénéficient rarement du même niveau de surveillance que la production. Tant que l’éditeur n’aura pas publié le résultat de ses investigations, les personnes ayant pris rendez-vous via une solution Alaxione ont intérêt à traiter avec méfiance tout appel, SMS ou courriel se réclamant d’un cabinet médical, d’une mutuelle ou de l’Assurance maladie, en particulier lorsqu’il évoque un remboursement ou demande une confirmation de coordonnées bancaires.

Un mois plus tard, un premier client de l’éditeur a apporté un élément qui pèse contre la thèse du serveur de test. Le 15 septembre 2026, Point Vision a notifié à ses patients un accès non autorisé à l’environnement de son prestataire de prise de rendez-vous, exposant identité, coordonnées et numéros de Sécurité sociale réels. Point Vision ne nomme pas ce prestataire, mais sa politique de confidentialité désigne Alaxione comme gestionnaire d’agendas, et Cyberattaque.org avait déjà relevé dans les données revendiquées des alias d’adresses électroniques faisant référence à Point Vision. ZATAZ décrit par ailleurs l’environnement compromis comme une copie complète de la production. Aucun de ces éléments ne constitue une confirmation par Alaxione, et le volume de 6,8 millions reste un chiffre d’attaquant, d’où le maintien du statut « alléguée » ; mais l’hypothèse d’une base sans données réelles devient difficile à soutenir.