Point Vision : vol de données patients via un prestataire de rendez-vous

Le réseau de centres d'ophtalmologie Point Vision notifie ses patients d'un vol de données. L'intrusion a exploité une vulnérabilité dans l'outil d'un prestataire chargé de la prise de rendez-vous ; l'attaquant a ensuite atteint l'environnement informatique de Point Vision et y a téléchargé des bases de données. L'information est rapportée par ZATAZ (Damien Bancal), qui reproduit la notification envoyée aux patients. Point Vision n'a pas publié d'avis public à ce stade : cette couverture repose sur la notification directe et le suivi de la mise en vente des fichiers sur un forum criminel, documentée par Selectra.

Données concernées

D'après la notification citée par ZATAZ, le vol touche :

• Identité, date de naissance et coordonnées : noms, prénoms, date de naissance, adresse postale, adresse électronique, numéro de téléphone.
• Certains échanges liés à l'organisation des rendez-vous.

Point Vision indique que l'accès ou le téléchargement des mots de passe et des motifs de consultation n'est « ni établi ni écarté » — une partie des traces ayant été effacée. Les motifs de rendez-vous relèvent potentiellement de données de santé. L'enseigne précise qu'aucun accès illégitime aux dossiers médicaux n'a été mis en évidence à ce jour. Les annonces de revente évoquent par ailleurs des numéros de Sécurité sociale pour une partie des enregistrements et des mots de passe sous forme codée, mais ces éléments restent ceux du vendeur.

État de la revendication

Le vendeur revendique les données de jusqu'à 16,2 millions de personnes, un volume qu'aucune autorité ni Point Vision n'a confirmé. Selectra et les pisteurs de fuites (FrenchBreaches, Fuites Infos) relèvent que les deux lots mis en vente se recoupent plutôt qu'ils ne s'additionnent, et que les extraits publics ne couvriraient au plus que quelques dizaines d'établissements. Le vendeur attribue le fichier au logiciel de prise de rendez-vous « Alaxione » ; cette attribution n'est pas confirmée par Point Vision ni par le prestataire. Aucun acteur identifié, aucune revendication de rançongiciel.

Que faire

1. Patients Point Vision : traitez tout message citant votre nom, votre date de naissance ou un rendez-vous récent comme suspect. Point Vision rappelle qu'elle ne demandera jamais de paiement, de coordonnées bancaires ni de mot de passe par message.
2. Changez tout mot de passe réutilisé ailleurs si vous aviez un compte patient en ligne ; les annonces évoquent des mots de passe exfiltrés sous forme codée.
3. Méfiance sur les liens et pièces jointes : le nom du logiciel de rendez-vous peut apparaître dans de faux SMS ou e-mails de rappel pour crédibiliser un hameçonnage.
4. Exploitants d'un logiciel de prise de rendez-vous santé : auditez les accès de vos prestataires à votre SI, segmentez-les, et vérifiez que les données patients ne sont pas atteignables depuis l'environnement du prestataire.

Contexte

Point Vision dit avoir coupé les accès concernés, mobilisé son hébergeur de données de santé (HDS) et des spécialistes en cybersécurité, désactivé les mécanismes malveillants, renouvelé ses secrets d'authentification et déployé des correctifs ; le logiciel de prise de rendez-vous reste suspendu dans l'attente de contrôles. L'incident s'inscrit dans une série française de fuites santé passant par un tiers plutôt que par l'établissement lui-même — le maillon prestataire reste le point faible récurrent du secteur. Tant qu'aucun décompte officiel (CNIL, communiqué Point Vision) n'est publié, le chiffre de 16,2 millions doit être lu comme une revendication de vendeur, pas comme un bilan.