Un prestataire de gestion des rendez-vous médicaux au cœur d’une alerte sur les données personnelles. Selon une notification à des patients transmise à TPE Actu, un tiers malveillant aurait extrait des fiches conservées par ALAXIONE les 27 et 28 septembre 2026. Identité, coordonnées et numéro de sécurité sociale figurent parmi les informations concernées.
- Un rendez-vous médical peut laisser des informations chez un prestataire dont le patient ne connaît pas nécessairement le nom. ALAXIONE fournit des outils de gestion d’agendas, de prise de rendez-vous et de rappels aux professionnels de santé. L’entreprise précise agir, pour ces services, comme sous-traitant de ses clients dans sa politique de confidentialité.
- Selon une notification transmise à TPE Actu, la société a informé un établissement client qu’un tiers malveillant aurait extrait de ses serveurs des fiches patients les 27 et 28 septembre 2026. Le courrier avertit son destinataire que sa propre fiche figure parmi les données concernées.
Identité, coordonnées et numéro de sécurité sociale
La notification énumère les informations susceptibles d’avoir été extraites : nom et prénom, date de naissance, numéro de téléphone, adresse électronique, adresse postale et numéro de sécurité sociale.
Ces informations proviennent de la fiche utilisée pour gérer les rendez-vous et envoyer les rappels par SMS ou par e-mail.
Le document ne précise ni le nombre total de personnes concernées, ni le nombre de clients d’ALAXIONE touchés. Il ne détaille pas davantage le procédé ayant permis l’extraction.
Pas de données médicales extraites, selon le courrier
La notification affirme qu’aucune donnée médicale n’a été extraite, pas davantage que le détail ou l’historique des rendez-vous passés ou futurs.
Cette précision concerne le périmètre décrit dans le courrier. Elle ne permet pas, à elle seule, de dresser un bilan de l’ensemble de l’incident chez ALAXIONE.
L’absence annoncée de comptes rendus médicaux ou d’historique de consultations ne rend toutefois pas les autres informations anodines. Un nom, une date de naissance et des coordonnées peuvent donner de la crédibilité à un appel ou à un message frauduleux. La présence du numéro de sécurité sociale appelle une vigilance supplémentaire.
De faux messages de l’Assurance maladie ou d’une mutuelle
Le courrier met précisément en garde contre des appels, SMS ou e-mails usurpant l’identité d’un professionnel de santé, d’une caisse d’Assurance maladie ou d’une mutuelle.
Le scénario redouté : un interlocuteur dispose déjà de plusieurs renseignements exacts et s’en sert pour obtenir une information supplémentaire, un code de connexion ou un paiement.
La notification recommande de ne pas cliquer sur un lien reçu de manière inattendue et de joindre directement l’organisme concerné à partir d’un numéro déjà connu. Elle invite également les destinataires à surveiller leur espace Ameli et leurs remboursements, puis à signaler toute anomalie à leur caisse.
En cas de message suspect ou de tentative d’escroquerie, le service public 17Cyber permet d’être orienté selon la situation rencontrée.
Un accès fermé et une plainte, d’après la notification
Selon le même document, ALAXIONE a fermé l’accès utilisé et déposé plainte. Le courrier ne donne pas de précisions sur la date de découverte de l’intrusion ni sur les vérifications menées depuis.
Plusieurs questions restent donc ouvertes : combien de fiches ont été extraites ? Quelles personnes sont concernées ? Le numéro de sécurité sociale apparaît-il dans toutes les fiches touchées ? Existe-t-il des indices de réutilisation des informations ?
Le bilan présenté ici repose sur la notification transmise à TPE Actu. Il ne constitue pas une confirmation directe d’ALAXIONE sur l’étendue de l’incident.
Un prestataire parfois invisible des patients
Sur son site, ALAXIONE présente notamment une offre permettant d’intégrer la prise de rendez-vous au site du professionnel de santé et d’envoyer des communications au nom de celui-ci. Le patient peut ainsi utiliser ses services sans passer par une plateforme portant ostensiblement la marque ALAXIONE.
Ce fonctionnement explique pourquoi le nom du prestataire peut être découvert au moment de recevoir une alerte. Il rappelle aussi la quantité d’informations personnelles qui peuvent être confiées à un outil de gestion des rendez-vous, au-delà du seul nom et du numéro de téléphone.
Pour connaître les données détenues à leur sujet, les patients peuvent contacter le professionnel auprès duquel le rendez-vous a été pris. C’est également la démarche indiquée par ALAXIONE dans sa politique de confidentialité pour les informations traitées via ses logiciels.