L’article en bref
- Un pirate revendique le vol de 6,8 millions de profils et 10,1 millions de rendez-vous sur Alaxione : c'est une revendication, pas un fait établi.
- Alaxione reconnaît une intrusion, mais affirme qu'elle a visé un serveur de test sans données médicales réelles.
- Aucune autorité n'a confirmé, au 21 août 2026, l'ampleur réelle de l'incident.
- Alaxione est une plateforme utilisée par des cabinets et établissements de santé : le patient peut l'avoir utilisée sans connaître son nom.
- Le droit d'accès de l'article 15 du RGPD permet de demander à l'entreprise si elle détient vos données.
- Vigilance : de faux messages de remboursement ou de rendez-vous médical peuvent exploiter cette actualité.
Rien ne permet d'affirmer, au 21 août 2026, que vos données médicales ont réellement fuité. Une intrusion chez Alaxione est reconnue par l'entreprise elle-même. Mais l'ampleur revendiquée par le pirate – des millions de profils et de rendez-vous – reste une revendication invérifiée, contestée par la plateforme, qui évoque un serveur de test sans données réelles. Aucune autorité n'a confirmé de fuite massive. La vigilance s'impose, pas la panique.
Faits et sources vérifiés le 21 août 2026 à 18 h 20.
Ce qui est confirmé : une intrusion reconnue
Alaxione a confirmé auprès de RTL et de franceinfo qu'une intrusion informatique a bien eu lieu (déclarations du 20 août 2026, recoupées par plusieurs médias, vérifiées le 21 août 2026). L'entreprise, qui édite une plateforme de gestion d'agendas et de prise de rendez-vous pour les professionnels de santé, indique avoir mandaté un conseil spécialisé et un expert en cybersécurité pour évaluer l'ampleur réelle de l'incident, et son dirigeant a annoncé un dépôt de plainte. Il a également refusé toute négociation avec l'auteur de la revendication.
C'est là que s'arrêtent les faits établis. Ni la CNIL, ni l'Agence du numérique en santé, ni aucune autre autorité n'avait publié de communication sur cet incident au 21 août 2026. Aucun communiqué public n'était non plus accessible sur le site d'Alaxione à cette date.
Ce que revendique le pirate : des chiffres invérifiés
Le 20 août 2026, un pirate a revendiqué sur un forum spécialisé le vol d'environ 6,8 millions de profils et de plus de 10,1 millions de rendez-vous médicaux, soit environ 18 millions de lignes de données. La revendication évoque des identités, coordonnées, dates de naissance, motifs de consultation, messages échangés, environ 70 000 numéros de sécurité sociale et des coordonnées bancaires. L'auteur a mis les données en vente après le refus de négociation de l'entreprise.
Ces chiffres et ces catégories de données proviennent exclusivement de la revendication. Certains médias spécialisés indiquent avoir examiné des échantillons paraissant en partie authentiques, mais aucune vérification indépendante complète n'a été publiée. Une revendication de pirate n'est pas une preuve : les cybercriminels ont un intérêt commercial direct à exagérer le volume et la sensibilité des données qu'ils prétendent détenir, pour faire monter les enchères ou la pression.
Ce que conteste Alaxione
L'entreprise conteste frontalement le scénario du pirate. Selon ses déclarations relayées par RTL et franceinfo, l'accès aurait concerné un serveur de test, ou de développement, contenant des données de test sans lien avec de vrais patients. Autrement dit : intrusion, oui ; fuite massive de données médicales réelles, non, selon la plateforme.
Deux récits s'opposent donc, et aucun élément public ne permet aujourd'hui de trancher. C'est précisément la situation dans laquelle la prudence rédactionnelle s'impose : affirmer que « les données de 6,8 millions de patients ont fuité » serait faux en l'état, tout comme affirmer que rien n'a fuité. L'expertise mandatée par l'entreprise et les investigations à venir diront ce qu'il en est réellement.
Quelles données seraient potentiellement concernées ?
Sous la réserve essentielle qui précède – il s'agit du contenu de la revendication, pas de faits établis –, voici les catégories évoquées et ce qu'elles impliqueraient si elles étaient confirmées :
| Donnée revendiquée (non confirmée) | Risque si elle était confirmée | Action utile dès maintenant |
|---|---|---|
| Identité, coordonnées, date de naissance | Phishing ciblé par courriel, SMS ou téléphone se réclamant d'un établissement de santé | Ne jamais cliquer ni rappeler un numéro fourni par un message ; vérifier auprès de l'établissement par ses canaux officiels |
| Motifs de consultation, rendez-vous, messages | Messages frauduleux très crédibles citant un vrai rendez-vous ou un vrai praticien | Considérer tout message sollicitant paiement ou données comme suspect, même précis et personnalisé |
| Numéros de sécurité sociale | Faux messages de l'Assurance Maladie, tentatives d'usurpation d'identité | Surveiller ses remboursements sur ameli.fr ; l'Assurance Maladie ne demande jamais identifiants ni coordonnées bancaires complètes |
| Coordonnées bancaires (IBAN/BIC) | Prélèvements frauduleux, faux remboursements médicaux | Surveiller ses comptes ; contester sans tarder tout prélèvement non autorisé auprès de sa banque |
Comment savoir si vous avez utilisé Alaxione ?
C'est la vraie difficulté de ce dossier. Alaxione n'est pas une application grand public que l'on télécharge : c'est une plateforme proposée aux cabinets médicaux, centres de santé et établissements, qui l'utilisent pour la prise de rendez-vous en ligne, la gestion d'agenda ou les rappels par SMS. Concrètement, vous avez pu prendre un rendez-vous via Alaxione depuis le site d'un hôpital ou d'un cabinet sans jamais voir ce nom, ou en l'apercevant seulement dans un SMS de rappel ou une page de confirmation.
Trois pistes pour le vérifier. Recherchez « Alaxione » dans vos courriels et SMS : confirmations et rappels de rendez-vous mentionnent souvent la plateforme ou son domaine. Regardez la page de prise de rendez-vous en ligne de vos praticiens et établissements habituels : l'outil utilisé y apparaît généralement. Enfin, en cas de doute, la question peut être posée directement au secrétariat de l'établissement, ou à l'entreprise elle-même par une demande d'accès, décrite ci-dessous.
Faut-il contacter son médecin ? Changer un mot de passe ?
Contacter son médecin ou son établissement peut être utile pour une seule question factuelle : utilise-t-il Alaxione ? Il est inutile de solliciter le corps médical au-delà : si une fuite réelle était confirmée, l'obligation d'informer les personnes concernées pèserait sur les responsables et sous-traitants du traitement (article 34 du RGPD), et vous seriez alors notifié.
Côté mot de passe : si vous avez déjà créé un compte sur un espace de prise de rendez-vous propulsé par Alaxione, en changer par précaution ne coûte rien, ainsi que sur tout autre service où vous réutilisez le même mot de passe – la réutilisation est le vrai facteur de risque. Aucun élément confirmé n'indique toutefois, à ce jour, une compromission de mots de passe.
Vos droits : demander à Alaxione si elle détient vos données
Le RGPD vous donne un levier direct : le droit d'accès de l'article 15. Toute personne peut obtenir d'un responsable de traitement la confirmation que des données la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès à ces données ainsi qu'aux informations essentielles : finalités, catégories de données, destinataires, durée de conservation, source des données et copie des données traitées. La demande peut être adressée à l'entreprise, qui doit répondre dans un délai d'un mois en principe.
Si une violation de données réelle était confirmée et vous causait un préjudice, l'article 82 du RGPD ouvre un droit à réparation du dommage matériel ou moral, à condition de démontrer un dommage et un lien de causalité : rien n'est automatique. En cas de difficulté à exercer vos droits, l'accompagnement d'un avocat en violation de données personnelles peut être utile, de même que celui d'un avocat CNIL pour les suites devant l'autorité. Chaque situation est particulière.
Faux remboursement, faux rendez-vous : les bons réflexes
Que la fuite massive soit confirmée ou non, l'actualité elle-même sert déjà de prétexte aux fraudeurs. Un message annonçant un « remboursement médical », une « consultation à confirmer » ou une « indemnisation des victimes du piratage » doit déclencher la même règle : ne pas cliquer, ne rien payer, ne rien communiquer. L'Assurance Maladie rappelle qu'elle ne demande jamais les identifiants du compte ameli, des informations médicales ou des coordonnées bancaires complètes par courriel ou SMS. La CNIL a par ailleurs alerté, le 24 juin 2026, sur de faux organismes proposant aux victimes de violations de « supprimer » leurs données volées : personne ne peut le faire, et ces offres sont des escroqueries.
En cas de message suspect : transférez les SMS au 33700, les courriels à Signal Spam, signalez les contenus illicites sur Pharos (internet-signalement.gouv.fr) et, en cas de préjudice, déposez plainte, y compris en ligne via THESEE pour les e-escroqueries. L'escroquerie est punie de 5 ans d'emprisonnement et 375 000 € d'amende (article 313-1 du Code pénal) et l'usurpation d'identité d'un an et 15 000 € (article 226-4-1).
Chronologie
- 20 août 2026 : revendication publiée sur un forum spécialisé – environ 6,8 millions de profils et 10,1 millions de rendez-vous, selon le pirate.
- 20 août 2026 : Alaxione confirme une intrusion auprès de RTL et de franceinfo, conteste l'ampleur revendiquée (serveur de test, selon l'entreprise) et annonce une plainte.
- 20 – 21 août 2026 : après le refus de négociation, le pirate met les données revendiquées en vente ; des médias spécialisés examinent des échantillons, sans vérification indépendante complète publiée.
- 21 août 2026 : aucune communication de la CNIL ni d'une autre autorité sur cet incident. Dernière vérification des faits et sources pour cet article, à 18 h 20.
Questions fréquentes sur le piratage revendiqué d'Alaxione
Mes données médicales ont-elles fuité chez Alaxione ?
Rien ne le confirme au 21 août 2026. L'intrusion est reconnue par l'entreprise, mais l'ampleur revendiquée par le pirate reste invérifiée et contestée par Alaxione, qui évoque un serveur de test sans données réelles. Aucune autorité n'a confirmé de fuite massive.
Qu'est-ce qu'Alaxione ?
Une plateforme française de prise de rendez-vous et de gestion d'agenda destinée aux professionnels et établissements de santé. Le patient l'utilise souvent sans connaître son nom, via le site de son cabinet, de son centre de santé ou de son hôpital.
Comment savoir si je suis passé par cette plateforme ?
Recherchez « Alaxione » dans vos courriels et SMS de confirmation ou de rappel de rendez-vous, vérifiez l'outil de prise de rendez-vous en ligne de vos praticiens, ou demandez au secrétariat de l'établissement. Vous pouvez aussi adresser une demande d'accès à l'entreprise (article 15 du RGPD).
Que revendique exactement le pirate ?
Environ 6,8 millions de profils et plus de 10,1 millions de rendez-vous, incluant selon lui identités, coordonnées, motifs de consultation, messages, environ 70 000 numéros de sécurité sociale et des coordonnées bancaires. Ces chiffres proviennent de la seule revendication et ne sont pas vérifiés.
Faut-il contacter son médecin ?
Uniquement pour savoir s'il utilise Alaxione. Si une fuite réelle était confirmée, l'information des personnes concernées incomberait aux responsables du traitement, conformément à l'article 34 du RGPD, et vous seriez alors notifié directement.
Dois-je changer un mot de passe ?
Aucune compromission de mots de passe n'est confirmée. Si vous avez un compte sur un espace de rendez-vous propulsé par Alaxione, en changer par précaution ne coûte rien, surtout si vous réutilisez le même mot de passe ailleurs : la réutilisation est le principal facteur de risque.
Comment savoir quelles données une entreprise détient sur moi ?
Par une demande d'accès fondée sur l'article 15 du RGPD : l'entreprise doit confirmer si elle traite vos données et, le cas échéant, vous en fournir une copie avec les informations essentielles (finalités, catégories, destinataires, durée de conservation, source). La réponse est due dans un délai d'un mois en principe.
Que faire si je reçois un faux message de remboursement médical ?
Ne cliquez pas, ne payez rien, ne communiquez rien. Vérifiez vos remboursements uniquement sur ameli.fr ou auprès de votre mutuelle par leurs canaux officiels. Transférez les SMS au 33700, signalez les courriels à Signal Spam et, en cas de préjudice, déposez plainte, y compris en ligne via THESEE.
Sources officielles
- Articles 15, 34 et 82 du règlement (UE) 2016/679 (RGPD), droit d'accès, communication des violations aux personnes concernées et droit à réparation – EUR-Lex
- CNIL, alerte du 24 juin 2026 sur les arnaques visant les victimes de violations de données – cnil.fr
- Assurance Maladie, « Se protéger des courriers, appels, e-mails et SMS frauduleux » – ameli.fr
- Articles 313-1 et 226-4-1 du Code pénal, escroquerie et usurpation d'identité – Légifrance
- Plateforme Pharos, signalement des contenus illicites – internet-signalement.gouv.fr ; plainte en ligne THESEE – service-public.fr
Les éléments factuels relatifs à l'incident Alaxione reposent sur les déclarations de l'entreprise recueillies par RTL et franceinfo le 20 août 2026 et sur la presse spécialisée, aucune source primaire (communiqué de l'entreprise ou d'une autorité) n'étant publiée au 21 août 2026. La revendication du pirate est présentée comme telle et ne constitue pas un fait établi.
Sur les réflexes face aux messages frauduleux exploitant une fuite de données réelle, voir aussi notre article : le mail de la DGFiP après le piratage est-il vrai ou frauduleux ?
Cet article présente l'état du droit et des faits publics à titre d'information générale, tels que vérifiés le 21 août 2026 à 18 h 20. Il ne constitue pas une consultation juridique et ne préjuge ni des conclusions des expertises en cours ni d'aucune appréciation des autorités. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
