Un lot de données présenté comme la base complète d'Alaxione, éditeur français de logiciels médicaux, a été mis en vente le 19 août 2026 sur un forum cybercriminel. L'annonce revendique 6 835 489 fiches d'utilisateurs, 10 145 988 rendez-vous médicaux et 274 039 messages issus de la messagerie interne de coordination des soins, pour un volume total de 12,8 Go. Les échantillons publiés à l'appui de l'offre font apparaître des données de santé nominatives : identité complète, date de naissance, coordonnées directes, motif de consultation en clair et échanges cliniques entre secrétariats et praticiens. À l'heure de cette publication, Alaxione n'a fait aucune communication publique et aucune autorité n'a été saisie publiquement du dossier.
L'entreprise concernée
Alaxione est une société par actions simplifiée immatriculée en 2015, dont le siège est au Soler, dans les Pyrénées-Orientales. Elle emploie une dizaine de salariés et édite une solution en marque blanche née à l'initiative d'un ophtalmologiste : agenda médical, prise de rendez-vous en ligne, standard virtuel, rappels automatiques de consultation et messagerie de coordination des soins. Ses clients sont des cabinets d'ophtalmologie, des orthoptistes, des centres et des réseaux de santé. L'entreprise revendiquait publiquement, en 2020, une clientèle de l'ordre de 1 500 professionnels de santé.
Point important pour la qualification juridique de l'incident : Alaxione n'est pas elle-même certifiée hébergeur de données de santé et déclare, dans sa politique de protection des données, confier cet hébergement à un prestataire certifié. Vis-à-vis des professionnels de santé qui l'utilisent, elle intervient en sous-traitant au sens de l'article 28 du RGPD, les responsables de traitement étant les praticiens et les structures de soins.
Ce que revendique l'annonce
Le lot est décrit comme la totalité des tables de la plateforme, réparties en cinq fichiers au format CSV. L'annonce en détaille la composition : 6 835 489 lignes d'utilisateurs, 10 145 988 rendez-vous, 144 310 messages courants et 129 729 messages archivés, et une table de 4 202 motifs de consultation rattachés aux praticiens. La somme de ces décomptes atteint 17 259 718 lignes, alors que l'annonce affiche par ailleurs un total de 18 millions : un écart d'environ 740 000 lignes que son auteur n'explique pas.
Le lot est proposé à 5 000 dollars, sans exclusivité, ce qui signifie qu'il peut être vendu à plusieurs acheteurs successifs.
Sur l'origine, l'auteur de l'annonce affirme avoir récupéré cette copie sur une instance de préproduction dans laquelle une base temporaire complète aurait été importée, après avoir obtenu des versions antérieures sur des instances de développement. Il mentionne également une interface d'administration de base de données restée accessible. Il déclare enfin avoir prévenu l'éditeur deux jours avant de publier et avoir alerté un journaliste, sans obtenir de réponse, et revendique deux accès antérieurs jamais diffusés, en mars puis en novembre 2025. Aucun de ces éléments n'est corroboré par une source indépendante.
Ce que montrent les échantillons publiés
Trois échantillons de 1 000 lignes ont été mis en ligne par l'auteur de l'annonce pour attester du lot. Ils portent sur les fiches d'utilisateurs, les rendez-vous et la messagerie interne, et permettent de caractériser la nature de ce qui est exposé, sans rien dire du volume réel.
Les fiches d'utilisateurs comptent 133 colonnes. Sur les lignes publiées, le nom, le prénom et la date de naissance sont renseignés dans la totalité des cas, un numéro de mobile dans 96 pour cent, une adresse postale complète dans 98 pour cent, une adresse e-mail dans 82 pour cent. Les dates de naissance couvrent près d'un siècle, de 1923 à 2020. Une personne sur huit y est née après 2008, donc mineure, et autant sont âgées de 75 ans ou plus : la double population caractéristique d'une file active d'ophtalmologie.
Les rendez-vous comptent 92 colonnes : date, heure, durée, praticien, lieu, statut du rendez-vous, téléphone de rappel et motif de consultation en clair, du type consultation ophtalmologique, fond d'oeil ou adaptation de lentilles de contact. Une partie des créneaux porte la mention d'une plateforme nationale de prise de rendez-vous, trace d'une interconnexion avec elle.
La messagerie interne est la partie la plus sensible. Les échanges entre secrétariats et praticiens sont stockés en texte clair. Sur 1 047 messages, une centaine mentionnent une ordonnance, une cinquantaine une cataracte, autant un équipement en lentilles, et l'on relève également glaucome, dégénérescence maculaire, injections intravitréennes, chirurgies programmées et motifs d'urgence. L'objet du message reprend le patronyme et le prénom du patient dans près de deux tiers des cas, ce qui rattache un contenu clinique à une identité sans le moindre recoupement technique.
Deux précisions utiles à qui voudrait interpréter ces chiffres. Les trois échantillons proviennent d'un seul et même établissement client et forment des tranches d'identifiants contiguës : ils décrivent fidèlement la nature des données, mais ne sont pas représentatifs de la base entière. Par ailleurs, les colonnes bancaires figurent bien dans le schéma publié par l'auteur de l'annonce, mais elles sont vides sur l'intégralité des lignes diffusées, et aucun mot de passe ni aucune empreinte de mot de passe n'y apparaît.
Ce qui n'est pas établi
Les volumes reposent sur la seule déclaration de l'auteur de l'annonce. Aucun élément indépendant ne les corrobore, et la fiche associée à cet incident retient une fourchette de 5,5 à 6,8 millions de personnes physiques distinctes, la borne haute correspondant à l'hypothèse où aucun patient ne serait suivi dans plusieurs établissements clients.
Ne sont pas davantage établis : la date réelle de l'extraction, l'origine exacte de la compromission, et la véracité des deux accès antérieurs revendiqués pour mars et novembre 2025, dont aucune trace publique n'a été trouvée.
Pourquoi cet incident sort du lot
La gravité ne tient pas au volume mais à la combinaison. Un enregistrement de rendez-vous médical réunit dans une seule ligne une personne identifiée, joignable immédiatement, la date de son passage, le nom de son praticien et le motif de sa consultation. C'est le matériau exact d'une fraude par usurpation du cabinet : un appel qui connaît le rendez-vous de la semaine précédente n'a pas besoin d'être convaincant, il l'est déjà. Faux rappel de consultation, fausse mutuelle, demande de règlement pour un acte qui a réellement eu lieu, les scénarios sont directement opérationnels et visent en priorité une population âgée.
La plupart des grandes fuites de santé françaises documentées ces dernières années sont des fuites de gestion : tiers payant, garanties, droits, mutuelles. On y trouve l'identité d'une personne et le fait qu'elle est assurée, rarement ce dont elle souffre. Ici, la pathologie est lisible directement, en français, dans le corps d'un message. À cette échelle, c'est une combinaison rare.
Enfin, rien de ce qui est exposé ne se réinitialise. Après une fuite de mots de passe, on change ses mots de passe. Une date de naissance, une adresse et un antécédent médical restent valables toute une vie. C'est ce qui distingue une fuite de données de santé de toutes les autres.
Le cadre réglementaire applicable
Les données en cause relèvent de l'article 9 du RGPD, qui protège les données concernant la santé. En cas de violation, l'article 33 impose une notification à la CNIL dans les 72 heures suivant sa découverte, et l'article 34 une information individuelle des personnes concernées lorsque le risque est élevé pour leurs droits et libertés. Sur des données de santé nominatives assorties de coordonnées directes, ce seuil est atteint : une communication générale ne suffit pas, chaque personne concernée doit être informée.
La répartition des rôles a son importance. En tant que sous-traitant, l'éditeur doit informer sans délai les professionnels de santé et les structures qui l'utilisent, responsables de traitement, à charge pour eux de notifier l'autorité et d'informer leurs patients.
Que faire
Pour les professionnels de santé utilisateurs d'une solution d'agenda tierce, la question à poser au prestataire tient en une ligne : où vivent les copies de la base de production, et qui peut les atteindre ? Une base complète recopiée dans un environnement de test ou de préproduction est un cas classique, et ces environnements sont rarement protégés au niveau de la production.
Pour les patients, aucune action technique n'est possible, et c'est précisément le problème. La vigilance porte sur les sollicitations qui paraissent trop bien informées : un appel ou un message qui cite un rendez-vous réel, le nom du praticien ou le motif d'une consultation n'en est pas plus légitime pour autant. Aucun cabinet ne demande de coordonnées bancaires par téléphone à la suite d'une consultation passée.
Méthode et réserves
Cet article s'appuie sur l'annonce publiée le 19 août 2026, sur les échantillons que son auteur a lui-même diffusés publiquement pour attester du lot, et sur des sources primaires concernant l'entreprise, notamment le registre du commerce et sa propre politique de protection des données. Le pseudonyme de l'auteur de l'annonce, les liens de téléchargement, les moyens de contact du vendeur et l'adresse du forum ne sont pas reproduits. Aucune donnée personnelle issue des échantillons n'est publiée.
L'incident est classé comme revendiqué et non confirmé. Cette page sera mise à jour si Alaxione, une autorité ou une source indépendante apporte un élément nouveau, dans un sens comme dans l'autre.