Fuite Point Vision : le vol de données de patients désormais confirmé

Point Vision, réseau de centres d'ophtalmologie, a envoyé à ses patients une seconde notification qui confirme cette fois un téléchargement non autorisé de données issues de son outil de rendez-vous : nom, date de naissance, coordonnées, échanges liés aux rendez-vous, et numéro de Sécurité sociale selon le premier courrier. Si vous avez réservé en ligne chez Point Vision, vous êtes peut-être concerné.

L'incident n'est pas nouveau en soi : une première alerte avait été adressée aux patients à la mi-septembre 2026. Ce qui change, c'est le ton. Là où le premier e-mail parlait d'un accès possible chez un prestataire, le second, analysé par le site de veille Fuites Infos dans une mise à jour du 24 octobre et relayé par ZATAZ, admet que des bases ont bien été téléchargées depuis l'environnement de gestion des rendez-vous de Point Vision lui-même. Le réseau compte 67 cabinets et prend en charge environ 1,6 million de patients par an, selon le magazine professionnel Acuité. Le nombre de patients touchés, lui, n'a toujours pas été communiqué.

Qu'est-ce qui a changé entre les deux notifications ?

Pour un patient, la comparaison des deux e-mails est le meilleur moyen de comprendre où en est l'enquête. D'après les éléments publiés par Fuites Infos et ZATAZ, voici ce qui a bougé.

Le réseau indique avoir coupé les accès concernés, neutralisé les mécanismes malveillants, renouvelé les identifiants, appliqué des correctifs et suspendu le logiciel le temps des vérifications. Il affirme n'avoir détecté aucun accès illégitime aux serveurs qui hébergent les dossiers médicaux. Nos sources ne mentionnent pas publiquement de notification à la CNIL, ce qui ne signifie pas qu'elle n'a pas eu lieu.

Alaxione, 6,8 millions de profils : que faut-il croire ?

Point Vision ne nomme pas son prestataire dans ses courriers, mais sa politique de confidentialité désigne Alaxione, un éditeur de logiciel d'agenda médical utilisé par de nombreux cabinets et centres. Le site de veille FrenchBreaches rapporte qu'un vendeur a revendiqué dès le 20 août 2026, sur un forum cybercriminel, un fichier attribué à Alaxione : 6 835 489 profils d'utilisateurs, environ 10,1 millions de rendez-vous et quelque 70 000 numéros de Sécurité sociale. L'éditeur a reconnu une intrusion, mais en conteste l'ampleur.

Le 28 septembre, une nouvelle annonce présentait des données issues de 168 centres médicaux, dont 67 centres Point Vision, selon Fuites Infos. L'extrait analysé contiendrait des fiches de patients (dont des mineurs), des empreintes de mots de passe, des SMS de rappel et des messages entre secrétariats et praticiens évoquant parfois des prescriptions, des traitements ou des actes.

Deux précautions de lecture. D'abord, aucun de ces volumes n'a été vérifié de manière indépendante : les vendeurs gonflent souvent leurs chiffres pour mieux vendre. Ensuite, si le fichier provient bien de l'éditeur, des patients d'autres centres que Point Vision pourraient être concernés. Le schéma de données revendiqué comporte aussi des champs IBAN et BIC, mais la présence d'une colonne ne dit pas qu'elle est remplie : aucune source ne confirme à ce jour une fuite de coordonnées bancaires de patients.

À quoi ressembleront les arnaques ?

Point Vision prévient lui-même que des messages pourraient usurper son nom, celui d'un professionnel de santé ou de l'Assurance Maladie, et précise qu'il ne demandera jamais de paiement ni de coordonnées bancaires pour sécuriser votre compte. Voici un exemple fictif, construit uniquement avec les champs annoncés comme exposés.

• La date, le centre et le début du numéro sont justes. Ils viennent du fichier volé. Ils prouvent que l'expéditeur l'a eu entre les mains, rien de plus.
• Le lien n'appartient ni à Point Vision ni à ameli.fr. Un nom de domaine qui combine la marque et un mot rassurant (« patient », « suivi ») est un signe classique de site d'hameçonnage.
• La menace d'un paiement et le délai de 48 heures. Ils servent à vous faire saisir votre carte bancaire sans prendre le temps de vérifier.
• La démarche elle-même. La transmission d'une feuille de soins ne se règle pas par un lien reçu par SMS. En cas de doute, appelez le centre au numéro figurant sur votre convocation ou consultez directement votre compte ameli.

Autres variantes plausibles : un faux e-mail « réinitialisez votre mot de passe Point Vision » menant à une page de connexion imitée, un appel d'un prétendu conseiller de mutuelle qui connaît votre date de naissance, ou une fausse offre de lunettes « remboursées à 100 % » ciblant les patients suivis. Les ressorts sont proches de ceux que nous avions détaillés pour une autre fuite touchant la santé, dans notre article sur la cyberattaque Almerys et les données des assurés.

Il y a aussi ce que le fichier ne contient pas, mais qui se trouve facilement ailleurs : votre adresse actuelle, votre numéro de mobile, parfois votre employeur, revendus par des courtiers de données et des annuaires de recherche de personnes. Chaque information de ce type que vous retirez rend un message frauduleux moins convaincant. Faire effacer votre profil chez plus de 100 courtiers prive les fraudeurs des pièces qui leur manquent pour compléter ce fichier, même si cela n'efface rien de ce qui a été dérobé.

Ce que chaque donnée permet, et comment la neutraliser

Que faire maintenant : les gestes classés par urgence

Ce plan reprend les consignes de Point Vision et celles de la fiche réflexe de Cybermalveillance.gouv.fr sur les fuites de données personnelles, en les adaptant à une fuite qui touche des données médicales et administratives.

Aujourd'hui

• Retrouvez les e-mails de Point Vision dans votre messagerie, y compris les indésirables. Leur présence indique que vous figurez parmi les patients notifiés ; conservez-les.
• Changez le mot de passe de votre compte patient, puis celui de tout service où vous l'aviez réutilisé, en priorité la messagerie et le compte ameli. Pour en créer un solide sans vous compliquer la vie, appuyez-vous sur notre guide du mot de passe sécurisé.
• Prévenez les proches dont vous gérez les rendez-vous, en particulier les enfants et les parents âgés : leurs fiches peuvent aussi figurer dans le fichier, et ils sont des cibles faciles.

Cette semaine

• Passez en revue vos remboursements dans votre compte ameli et sur l'espace de votre mutuelle, à la recherche d'actes que vous n'avez pas reçus.
• Signalez les messages suspects : SMS au 33700, e-mails sur signal-spam.fr. Si vous avez déjà cliqué ou donné vos coordonnées bancaires, faites opposition auprès de votre banque sans attendre et déposez plainte.
• Demandez à Point Vision quelles données il détient sur vous au titre du droit d'accès (article 15 du RGPD), en écrivant au délégué à la protection des données indiqué dans sa politique de confidentialité. Un modèle figure ci-dessous.

Dans les mois qui viennent

• Restez méfiant à chaque échéance de santé : renouvellement d'ordonnance de lunettes, rappel de contrôle, campagne de remboursement. Ce sont les prétextes les plus naturels pour un faux message.
• Surveillez votre courrier : relance de crédit, contrat ou abonnement inconnu sont les premiers signes d'une usurpation d'identité.
• Sans réponse à votre demande d'accès dans le délai prévu (en principe un mois), vous pouvez adresser une plainte à la CNIL.

Modèle : demande d'accès à envoyer au DPO de Point Vision

L'adresse e-mail que vous utilisez pour vos rendez-vous médicaux a pu circuler dans d'autres fichiers avant celui-ci. Vérifiez gratuitement si votre adresse apparaît dans des fuites connues : le résultat ne vous dira pas si vous êtes dans la base Point Vision, mais il vous montre si d'autres identifiants à vous sont déjà exposés.

Pourquoi rester vigilant après la notification ?

Le fichier attribué à Alaxione est en vente depuis l'été, sans exclusivité selon FrenchBreaches, ce qui veut dire qu'il peut être acheté par plusieurs groupes. Les données volées apparaissent souvent avec retard sur le darknet, parfois des mois plus tard, revendues par lots ou fusionnées avec d'autres bases, au moment où plus personne n'en parle. La surveillance continue vous prévient dès leur apparition, alors qu'une vérification gratuite ne décrit que la situation du jour où vous la lancez.

Si une faute dans la protection des données et un préjudice étaient établis, une réparation au titre de l'article 82 du RGPD pourrait être envisagée, mais elle n'a rien d'automatique et relève de l'appréciation d'un juge. Nous n'avons connaissance d'aucune action collective liée à cette fuite à la date de publication ; si une telle action voyait le jour, les abonnés EffaceData concernés en seraient informés et resteraient entièrement libres de s'y joindre. Ceci n'est pas un conseil juridique.

Questions fréquentes

Comment savoir si je fais partie des patients concernés ?

Point Vision a prévenu les patients concernés par e-mail, une première fois à la mi-septembre 2026, puis une seconde fois en octobre. Cherchez dans votre messagerie, y compris dans les courriers indésirables, un message de Point Vision évoquant un incident de sécurité. Le réseau n'a pas publié le nombre de patients touchés. Si vous avez pris rendez-vous en ligne dans un centre Point Vision et n'avez rien reçu, vous pouvez interroger le centre ou son délégué à la protection des données.

Mon dossier médical a-t-il été volé ?

Selon Point Vision, aucun accès illégitime aux serveurs qui stockent les dossiers médicaux n'a été détecté. En revanche, le réseau ne peut pas exclure que les motifs de rendez-vous aient été consultés ou téléchargés, et un extrait mis en vente contiendrait des messages entre secrétariats et praticiens mentionnant parfois des traitements ou des actes. Des indices sur votre suivi médical peuvent donc circuler, même sans le dossier lui-même.

Mon numéro de Sécurité sociale a fuité, puis-je le changer ?

Non, le numéro de Sécurité sociale est attribué à vie et ne se remplace pas comme un mot de passe. La parade consiste à ne jamais le considérer comme une preuve d'identité : un appel ou un SMS qui vous le cite ne prouve pas que l'interlocuteur vient de l'Assurance Maladie. Surveillez les remboursements affichés dans votre compte ameli et signalez tout acte que vous n'avez pas reçu.

Dois-je changer mon mot de passe Point Vision ?

Oui. Point Vision ne peut pas exclure que les mots de passe des comptes patients aient été récupérés, et l'extrait mis en vente contiendrait des empreintes de mots de passe. Le réseau a prévu une réinitialisation à la prochaine connexion. Si vous utilisiez le même mot de passe ailleurs, en particulier pour votre messagerie ou votre compte ameli, changez-le aussi sur ces services.

Les chiffres de 6,8 millions de profils sont-ils fiables ?

Non, pas en l'état. Ce volume provient d'un vendeur sur un forum cybercriminel qui attribue son fichier au logiciel de rendez-vous Alaxione, utilisé par de nombreux centres médicaux et pas seulement par Point Vision. L'éditeur a reconnu une intrusion mais en conteste l'ampleur. Aucun chiffre n'a été confirmé de manière indépendante, et Point Vision n'a pas communiqué le nombre de ses patients concernés.

Cet article s'appuie sur les informations publiques disponibles au 25 octobre 2026 : les notifications de Point Vision telles que rapportées par Fuites Infos, ZATAZ et Acuité, et les relevés de FrenchBreaches. Les volumes revendiqués par les vendeurs n'ont été confirmés ni par Point Vision ni par Alaxione. L'article sera mis à jour en cas de nouvelle communication officielle. Les droits RGPD évoqués le sont à titre d'information générale. Ceci n'est pas un conseil juridique.