Alaxione : 6,8 millions de patients dans une fuite revendiquée

Une copie de la vraie base retrouvée sur le serveur d'essai

Le 20 août 2026, une personne agissant sous le pseudonyme Angel_Batista met en vente sur un forum criminel 12,8 Go de fichiers qu'elle affirme avoir extraits d'Alaxione. Cet éditeur français vend aux cabinets et aux établissements de santé un agenda en ligne, un service de prise de rendez-vous et un secrétariat virtuel 24h/24. Un espace d'échange entre patients et praticiens existe aussi, son existence ressort des tables de discussions figurant dans le lot. Le lot est proposé 5 000 dollars, environ 4 300 euros, sans exclusivité.

Le chemin d'entrée décrit n'a rien d'un exploit de cinéma. D'après les éléments rapportés par les sites spécialisés qui ont examiné la revendication, l'attaquant serait tombé sur un phpMyAdmin accessible depuis l'adresse de préproduction de l'éditeur. Un phpMyAdmin, c'est une page web qui permet d'administrer une base de données depuis un simple navigateur. La préproduction, c'est le brouillon du site réel, celui où l'on essaie les nouveautés avant de les publier. Et sur ce brouillon aurait traîné une copie temporaire de la base de production.

« Serveur de test » ne veut pas dire « fausses données »

Alaxione a reconnu avoir subi une intrusion informatique, tout en contestant l'ampleur annoncée : l'accès se serait limité à un serveur de test dépourvu de données médicales réelles. Les deux versions ne sont pas forcément incompatibles, et c'est précisément là que le lecteur doit tendre l'oreille.

Un serveur de test l'est par son usage, pas par son contenu. Pour vérifier qu'une application tient la charge ou qu'une mise à jour ne casse rien, les équipes techniques y recopient très souvent la base réelle, avec les vrais noms et les vrais rendez-vous. Répondre « c'était un serveur de test » ne répond donc pas à la seule question qui intéresse un patient : mon nom était-il dedans ? Les sites qui ont ouvert les échantillons publiés estiment y voir des données au moins partiellement authentiques. Aucune expertise indépendante n'a été rendue publique à ce jour.

Des motifs de consultation et des rendez-vous qui remontent à 2009

L'attaquant décrit quatre fichiers principaux. Le premier compte 6 835 489 lignes d'utilisateurs, le deuxième 10 145 988 rendez-vous, les deux derniers 144 310 et 129 729 lignes de discussions entre patients et soignants. Une cinquième table, de 4 202 lignes, relie praticiens et motifs de consultation. Un peu plus de 17,2 millions de lignes au total, quand l'annonce du pirate arrondit à 18 millions.

Le détail des colonnes est plus parlant que le volume : identités, dates de naissance, adresses, téléphones, professions, informations d'assurance, coordonnées bancaires au format IBAN et BIC, et environ 70 000 numéros de sécurité sociale. S'y ajoutent les motifs de consultation. Ce n'est pas un dossier médical, mais un motif associé à un praticien et à une date en dit souvent assez long sur une personne. Les rendez-vous les plus anciens remonteraient à 2009, soit près de dix-sept ans d'historique.

Deux jours d'alerte, puis une réponse qui n'éteint pas la question

L'attaquant affirme avoir prévenu Alaxione deux jours avant de rendre l'affaire publique, sans obtenir de réponse. L'entreprise n'a pas confirmé ce récit. Le 21 août, elle a annoncé avoir mandaté un avocat spécialisé et un expert en cybersécurité pour évaluer l'étendue réelle du piratage, et son dirigeant a fait état d'un dépôt de plainte. Ces éléments, rapportés par plusieurs médias, ne disent toujours pas le périmètre exact de l'incident ni le nombre de personnes réellement concernées. Du côté de la CNIL, aucune communication publique à ce stade.

Pour un patient, la situation est inconfortable : il n'a jamais choisi Alaxione, il a choisi son médecin. Le contrat lie le praticien à l'éditeur, et le patient n'apparaît nulle part dans cette relation. Tant qu'aucune liste de cabinets équipés n'est diffusée, personne ne peut savoir simplement s'il figure ou non dans les fichiers.

Weda, MédecinDirect, Cegedim : la santé française pillée en série

Ce n'est pas un accident isolé. En novembre 2025, le logiciel médical Weda était touché. Fin novembre 2025, le service de téléconsultation MédecinDirect était visé : jusqu'à 323 000 patients selon les attaquants, environ 285 000 personnes notifiées par l'entreprise. En février 2026, c'était au tour de Cegedim Santé et des données administratives de 15 millions de Français. Un média présente Alaxione comme la sixième plateforme médicale visée en quelques mois. Pour mémoire, et c'est une autre échelle, la fuite Viamedis et Almerys de fin janvier 2024, révélée début février par la CNIL, reste la plus vaste jamais recensée dans la santé en France avec plus de 33 millions de personnes.

Les chiffres officiels confirment la tendance. Dans son observatoire 2025, le CERT Santé, l'équipe publique qui suit les incidents du secteur, recense 764 signalements émanant de 606 structures. Les rançongiciels reculent de 30 %, mais plus de la moitié des incidents sont désormais d'origine malveillante, avec une progression nette des comptes compromis et des vols de données. Le pillage silencieux a remplacé le chiffrement spectaculaire.

Ce que nous ne pouvons pas vérifier

Tous les chiffres de cette affaire viennent de l'attaquant. Aucun n'a été confirmé par Alaxione, par la CNIL, ni par une expertise indépendante publiée. Et 6 835 489 est un nombre de lignes dans un fichier, pas nécessairement de personnes distinctes : des doublons sont probables. Le mécanisme d'intrusion lui-même, un phpMyAdmin exposé en préproduction avec une copie de la base réelle, est rapporté par des sites spécialisés à partir des déclarations du pirate, pas d'une analyse technique publiée.

Les dates des deux intrusions antérieures divergent selon les comptes rendus : deux sources indiquent mars 2025 et novembre 2025, une troisième situe la seconde en mars 2026. Enfin, nous n'avons pas pu ouvrir nous-mêmes les articles de franceinfo et de RTL, qui portent la déclaration directe de l'entreprise : leur contenu nous est parvenu par des reprises concordantes.

Sources : Cyberattaque.org ↗ · La Nouvelle Tribune ↗ · Alaxione ↗ · Agence du numérique en santé ↗ · RTL · franceinfo

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.