Piratage d’Alaxione : jusqu’à 6,8 millions de patients concernés ? Ce que l’on sait vraiment

Après le fisc, l’Éducation nationale et plusieurs opérateurs télécoms, c’est au tour du secteur le plus sensible de tous d’être visé : la santé. Le 20 août, une cyberattaque revendiquée contre Alaxione, plateforme française de gestion de rendez-vous médicaux, a été rendue publique. Le pirate affirme détenir les données de 6,8 millions de personnes et plus de 10 millions de rendez-vous médicaux.

Mais cette affaire a une particularité : deux versions s’affrontent. Celle du pirate, spectaculaire, et celle de l’entreprise, qui minimise fortement. Faisons le tri entre ce qui est établi, ce qui est revendiqué et ce qui est contesté, avant de voir comment se protéger, car quel que soit le vrai périmètre, le risque de phishing médical, lui, est bien réel.

Deux récits contradictoires

La version du pirate

Un individu opérant sous le pseudonyme Angel_Batista revendique, sur un forum cybercriminel, l’extraction d’environ 18 millions de lignes de données (12,8 Go) issues des systèmes d’Alaxione. Dans le détail, il annonce un fichier principal de 6 835 489 profils utilisateurs et un second de plus de 10,1 millions de rendez-vous, dont certains remonteraient à 2009.

Selon sa revendication, les données exposées iraient bien au-delà de simples coordonnées : identités, dates de naissance, adresses, numéros de Sécurité sociale (environ 70 000 seraient présents), motifs de consultation, messages échangés entre patients et praticiens, voire données bancaires et informations d’assurance pour certains. Il affirme avoir mis la main sur une copie de la base complète laissée sur un serveur de préproduction, avoir alerté l’entreprise sans réponse, puis mis le tout en vente pour quelques milliers de dollars.

La version d’Alaxione

L’entreprise, spécialisée en e-santé et implantée dans les Pyrénées-Orientales, reconnaît l’intrusion mais en conteste fermement l’ampleur. Selon son PDG, l’attaquant n’aurait accédé qu’à un serveur de développement contenant des données de test, et non aux dossiers médicaux réels des patients. La société indique avoir fait appel à un avocat spécialisé et à un expert en cybersécurité pour évaluer l’étendue réelle de l’incident, et annonce le dépôt d’une plainte. Elle a refusé toute négociation avec le pirate.

Que retenir de ce désaccord ?

À ce stade, ni la CNIL ni les analyses indépendantes n’ont tranché définitivement, et il faut se garder de toute certitude. Deux points appellent toutefois à la prudence face à la version rassurante.

D’abord, les échantillons publiés par le pirate et examinés par des sites spécialisés font apparaître des structures de données riches et cohérentes avec une vraie base de patients. Ensuite, un principe bien connu des informaticiens mérite d’être rappelé : les environnements de « test » ou de « préproduction » sont très souvent alimentés avec une copie des données réelles de production, précisément pour tester dans des conditions réalistes. Un serveur « de test » peut donc parfaitement contenir de vraies données. La distinction technique invoquée par l’entreprise ne garantit donc pas, à elle seule, que les données soient fictives.

La prudence commande une position simple : tant que l’enquête n’a pas établi le périmètre exact, mieux vaut se comporter comme si ses données pouvaient être concernées.

Pourquoi une fuite de données de santé est parmi les plus graves

S’il se confirme, cet incident appartient à la catégorie la plus sensible qui soit. Les données de santé ne se limitent pas à des coordonnées : elles touchent à l’intime, elles ne se changent pas comme un mot de passe, et elles ont une valeur élevée sur les marchés criminels.

Le risque le plus immédiat et le plus concret, souligné par tous les spécialistes, est le phishing médical ciblé. Imaginez recevoir un message mentionnant le nom réel de votre médecin, la date exacte d’un rendez-vous que vous avez bel et bien pris, et votre identité complète. Un tel message, prétextant par exemple une « confirmation de consultation », une « mise à jour de dossier » ou un « remboursement de la Sécurité sociale », serait d’une crédibilité redoutable. C’est exactement le mécanisme observé après le piratage du fisc, transposé au domaine de la santé.

À cela s’ajoutent, si les données les plus sensibles sont confirmées, des risques d’usurpation d’identité (le numéro de Sécurité sociale est une clé d’accès à de nombreux services) et de fraude, notamment pour les 70 000 numéros de Sécurité sociale évoqués.

Un secteur de la santé sous pression constante

Cet incident, quelle qu’en soit l’ampleur finale, s’inscrit dans une tendance lourde. Le secteur médical français a connu des fuites majeures ces dernières années, de l’affaire des opérateurs de tiers payant début 2024 (plus de 33 millions de personnes concernées) aux intrusions répétées visant hôpitaux et plateformes de e-santé. Les données de santé concentrent tout ce que recherchent les fraudeurs, ce qui en fait une cible privilégiée.

Il s’inscrit aussi dans la vague d’attaques qui frappe la France depuis le début de l’été, du fisc à l’Éducation nationale, au point que le Premier ministre a annoncé mi-août vouloir créer une unité dédiée à la lutte contre les intrusions et le vol de données. Le point commun de beaucoup de ces affaires reste d’une banalité frappante : un accès mal protégé, ici une copie de base laissée accessible sur un serveur secondaire.

Patient potentiellement concerné ? Les bons réflexes

Si vous avez pris rendez-vous via un praticien utilisant Alaxione, ou dans le doute, adoptez ces réflexes sans attendre la clarification officielle :

1. Attendez-vous à des messages « médicaux » très crédibles. Un SMS ou e-mail mentionnant votre médecin, un rendez-vous ou un remboursement n’est pas légitime par défaut, même s’il contient des informations exactes. Ne cliquez sur aucun lien : contactez directement votre praticien ou l’organisme concerné par les coordonnées que vous connaissez.
2. L’Assurance maladie ne demande jamais vos coordonnées bancaires, votre mot de passe ou un code par SMS ou e-mail. Tout message en ce sens est une arnaque. Surveillez votre compte Ameli et vos remboursements dans les prochaines semaines.
3. Méfiez-vous des appels au faux conseiller, qu’il se présente comme votre médecin, une mutuelle ou la Sécurité sociale. Raccrochez et rappelez le numéro officiel.
4. Surveillez vos comptes bancaires si vous aviez enregistré un moyen de paiement, et n’hésitez pas à mettre en place une vigilance renforcée auprès de votre banque.
5. Renforcez vos comptes en ligne. Même si aucun mot de passe n’a fuité, les campagnes de phishing qui vont suivre chercheront à vous en soutirer. Un mot de passe unique et robuste par compte (généré par exemple avec FortixPass) et la double authentification sur votre messagerie et votre compte Ameli limitent fortement les dégâts.
6. En cas d’escroquerie ou d’usurpation, signalez sur cybermalveillance.gouv.fr et déposez plainte.

Ce qu’il faut retenir

Le piratage d’Alaxione oppose deux récits : un pirate qui revendique 6,8 millions de dossiers médicaux, une entreprise qui parle d’un serveur de test sans données réelles. La vérité se situe peut-être entre les deux, et seule l’enquête, avec la CNIL, permettra de l’établir. Mais l’incertitude elle-même est une raison d’agir : quand des données de santé sont potentiellement en jeu, le principe de précaution s’impose.

Retenez surtout le risque numéro un, indépendant du périmètre exact : le phishing médical, ces messages qui exploiteront de vraies informations pour vous piéger. La parade ne dépend pas d’Alaxione, elle dépend de vous : ne jamais donner suite à une sollicitation entrante, revenir par le canal officiel, et verrouiller ses comptes avec des mots de passe uniques et une double authentification. Cinq minutes sur FortixPass pour sécuriser vos accès, et vous aurez fait le plus important.

Cet article traite d’un sujet sensible touchant à la santé. Si vous pensez être concerné et que la situation vous inquiète, les plateformes officielles comme cybermalveillance.gouv.fr peuvent vous accompagner dans vos démarches.