Alaxione fuite : millions de profils revendiqués, l’entreprise parle de données de test

Dans la nuit du 19 au 20 août 2026, une revendication vise Alaxione, plateforme française d’agendas médicaux. Les titres parlent souvent d’une « Alaxione fuite » de plusieurs millions de patients. Ce n’est pas le même niveau de preuve que le fisc ou Intermarché : ici, l’entreprise reconnaît une intrusion et conteste le vol de données réelles.

Ce que le pirate revendique

Un compte se présentant comme « Angel_Batista » (pas ZeroBytes) a publié sur un forum spécialisé des volumes de l’ordre de 6,8 millions de profils et plus de 10 millions de rendez-vous. La revendication évoque identités, coordonnées, motifs de consultation, et — selon les relais — une fraction de numéros de sécurité sociale et d’éléments bancaires. L’auteur aurait proposé une négociation, refusée, puis une mise en vente à quelques milliers d’euros ou de dollars selon les sources.

Aucun de ces volumes n’est un fait établi par une autorité. Ce sont les dires de l’attaquant, repris par French Breaches, franceinfo et RTL.

Ce que l’entreprise a déclaré

Sollicitée le 20 août, Alaxione a indiqué à franceinfo et RTL :

• avoir été alertée d’une attaque sur un serveur ;
• reconnaître un piratage ;
• affirmer qu’il s’agissait d’un serveur de développement / de test, « sans lien avec de vrais clients » selon ses termes ;
• faire appel à un conseil et à un expert, et porter plainte ;
• poursuivre des vérifications « pour s’assurer de l’absence totale de fuite d’informations personnelles ».

Au moment où nous écrivons, aucune publication CNIL ou ANSSI n’est venue trancher entre « données de test » et « copie de production ». Un environnement de préproduction qui contient une copie de la base réelle — hypothèse fréquente, non démontrée ici — serait un tout autre incident. Nous n’affirmons pas que c’est le cas.

Leçon pour une PME — surtout en e-santé et SaaS

La phrase « ce n’est que de la préprod » ne rassure que si la préprod est réellement synthétique. Trop souvent, on clone la production pour déboguer. Pour un éditeur, une clinique ou un laboratoire qui utilise un agenda tiers, deux réflexes :

• exiger du prestataire la séparation prod / test et l’absence de NIR en recette ;
• faire tester l’accès à ces environnements : un pentest web qui ignore la préprod rate le scénario Alaxione tel que l’entreprise le décrit elle-même.

Un audit cybersécurité PME doit poser la question par écrit aux sous-traitants de santé : où vivent les copies ?

Sources

franceinfo et RTL (20 août 2026), Ouest-France, alertes French Breaches. Revendication = allégation. Déclarations Alaxione = position de l’entreprise, pas une expertise indépendante publiée.