Point Vision : la fuite vient du prestataire de rendez-vous

Un numéro de sécurité sociale ne se change pas. C’est la donnée qui figure dans le message adressé le 15 septembre 2026 par Point Vision à une partie de ses patients, et c’est celle qui pose le plus de problèmes : contrairement à un mot de passe, elle vous suit toute la vie.

Le réseau français de centres d’ophtalmologie n’a pas été attaqué directement. C’est son prestataire de gestion des rendez-vous qui l’a été.

Ce que Point Vision a écrit à ses patients

Le message, daté du 15 septembre, décrit un accès non autorisé à l’environnement informatique du prestataire, et la consultation ou le téléchargement de données de patients.

Les catégories citées : nom, prénom, date de naissance, coordonnées postales, adresse électronique, numéro de téléphone, numéro de sécurité sociale, ainsi que des échanges relatifs à l’organisation et aux consignes de rendez-vous. Le réseau ajoute que les motifs de rendez-vous et les mots de passe associés aux comptes de prise de rendez-vous ont pu être consultés ou téléchargés, sans l’affirmer.

Deux points méritent d’être lus attentivement.

Le premier : Point Vision indique que les dossiers médicaux, stockés séparément, ne sont pas concernés. C’est la seule bonne nouvelle du dossier, et elle tient à une décision d’architecture prise avant l’incident.

Le second est plus inquiétant. Selon la fiche publiée par FrenchBreaches, des traces d’activité ont été effacées, ce qui empêche de déterminer l’intégralité des données consultées. Quand la journalisation disparaît, l’organisation ne peut plus dire qui a vu quoi. Elle est réduite à notifier au périmètre le plus large, ce qui est exactement ce que Point Vision fait ici.

Le nombre de patients concernés n’a pas été communiqué.

Le prestataire n’est pas nommé, et ce n’est pas un détail

Point Vision ne cite pas le nom de son prestataire dans son message.

FrenchBreaches relève que des documents publics du réseau, dont sa politique de confidentialité, désignent Alaxione comme prestataire de gestion des agendas. Alaxione avait reconnu une intrusion informatique en août 2026 ; une revendication portant sur environ 6,8 millions de profils et 10,1 millions de rendez-vous a circulé à cette occasion. Le traqueur écrit lui-même n’avoir pas pu confirmer formellement qu’Alaxione est bien le prestataire visé par la notification du 15 septembre.

Nous n’irons pas plus loin. Le rapprochement est plausible, documenté, et il n’est pas confirmé. Tant que Point Vision ne nomme pas son prestataire, écrire « la fuite Alaxione a touché Point Vision » serait une déduction présentée comme un fait.

Ce silence a pourtant un coût pour le patient. S’il est client de plusieurs structures médicales servies par le même prestataire, il n’a aucun moyen de savoir si les messages qu’il reçoit décrivent un incident ou plusieurs.

Pourquoi un numéro de sécurité sociale pèse plus lourd qu’un mot de passe

Le RGPD, à son article 9, range les données de santé parmi les catégories particulières, dont le traitement est en principe interdit sauf exceptions. Un motif de rendez-vous en ophtalmologie en est une : il peut révéler une pathologie.

Le numéro de sécurité sociale relève d’un régime différent en France. L’article 30 de la loi Informatique et Libertés encadre son usage, et son emploi hors des cas prévus est fermé. Sa valeur pour un fraudeur tient à sa stabilité : il identifie une personne de façon durable, et il sert de clé pour rapprocher des fichiers volés à des sources différentes.

Concrètement, la combinaison nom, date de naissance, numéro de sécurité sociale et rendez-vous à venir est le matériau parfait d’un appel frauduleux. L’appelant connaît votre centre, votre date de consultation, votre numéro d’assuré. Rien de ce qu’il dit n’est faux, sauf ce qu’il demande.

C’est ici qu’intervient l’intelligence artificielle, et nulle part ailleurs dans ce dossier : rien de public ne permet d’affirmer qu’elle a joué un rôle dans l’attaque. En revanche, l’ANSSI note dans son Panorama de la cybermenace 2025 que ces outils permettent aux attaquants d’améliorer le niveau, la quantité et l’efficacité de leurs opérations. Un message qui cite votre ophtalmologue, sans faute de français et avec le bon ton administratif, ne se repère plus à sa syntaxe. Le mécanisme est détaillé dans notre article sur les données fiscales volées à la DGFiP.

Ce qu’un patient concerné peut faire cette semaine

Point Vision indique avoir réinitialisé les mots de passe des comptes de prise de rendez-vous et recommande de surveiller son compte Ameli.

Trois gestes utiles, dans l’ordre :

• Changez le mot de passe partout où vous aviez réutilisé celui du compte de rendez-vous. C’est la seule raison pour laquelle un mot de passe de prise de rendez-vous compte vraiment.
• Vérifiez vos remboursements sur Ameli, y compris les actes que vous n’avez pas faits. Une fraude aux prestations se repère là avant de se repérer ailleurs.
• Ne répondez jamais à un appel ou un SMS qui vous demande de confirmer votre numéro d’assuré. L’Assurance maladie ne le demande pas, puisqu’elle l’a déjà. En cas de doute, raccrochez et rappelez par le numéro officiel, comme le recommande Cybermalveillance.gouv.fr.

Le compte Ameli lui-même peut se protéger : activez la double authentification si ce n’est pas fait.

Et si vous êtes l’établissement, pas le patient

L’enchaînement juridique est le même pour toute structure qui confie ses agendas à un éditeur. Le cabinet ou le centre est responsable du traitement au sens de l’article 4, point 7, du RGPD ; l’éditeur est sous-traitant au sens du point 8. L’article 33, paragraphe 2, oblige le sous-traitant à alerter le responsable dans les meilleurs délais. La notification à la CNIL dans les 72 heures et l’information des personnes en cas de risque élevé, prévues aux articles 33 et 34, restent à la charge de l’établissement. Nous avions détaillé cette chaîne à propos du prestataire, maillon faible.

Trois questions à poser par écrit à votre éditeur d’agenda, aujourd’hui :

• la journalisation des accès est-elle conservée, et pour combien de temps ?
• les données d’identité et les données médicales sont-elles stockées séparément, comme le décrit Point Vision ?
• quel délai contractuel vous engage à nous prévenir en cas d’incident ?

Repérer un appel ciblé avant qu’il ne coûte, c’est l’objet de notre formation Cybersécurité pour tous ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

La question qui reste ouverte n’est pas technique. Combien de patients ont reçu ce message sans savoir qu’un autre professionnel de santé utilise le même prestataire ?

Sources

• Point Vision, message d’information aux patients daté du 15 septembre 2026, repris par Cyberattaque.org et FrenchBreaches.
• FrenchBreaches, alerte « Point Vision », statut « Confirmée », 15 septembre 2026 : catégories de données, effacement de traces d’activité, rapprochement non confirmé avec Alaxione, réinitialisation des mots de passe, recommandation de surveiller Ameli.
• Cyberattaque.org, « Point Vision : une cyberattaque expose des numéros de sécurité sociale et des données de patients », 15 septembre 2026.
• FrenchBreaches, alerte « Alaxione », août 2026 : revendication portant sur 6,8 millions de profils et 10,1 millions de rendez-vous, non confirmée.
• RGPD (règlement (UE) 2016/679), articles 4, 9, 33 et 34.
• Loi n° 78-17 du 6 janvier 1978 modifiée, article 30 (numéro d’inscription au répertoire national d’identification des personnes physiques).
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• Cybermalveillance.gouv.fr, fiche « Hameçonnage », consultée le 16 septembre 2026.
• Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.