Données de santé exposées en ligne : Doctolib nie toute responsabilité, deux fuites distinctes en cause

Début janvier, des fichiers rassemblant des informations personnelles de patients français ont commencé à circuler sur des forums prisés par des cybercriminels. Très vite, le nom de Doctolib a été associé à cette fuite, certains champs de données faisant référence à la plateforme de prise de rendez-vous médicaux. Une lecture plus poussée du dossier vient toutefois nuancer sérieusement cette version.

Ce que dit Doctolib

Selon plusieurs médias spécialisés, un porte-parole de l'entreprise a catégoriquement rejeté toute implication directe, affirmant qu'aucun système interne n'aurait été compromis. La fuite proviendrait en réalité de deux structures de soins bien identifiées : un établissement hospitalier et un cabinet d'ophtalmologie, tous deux décrits comme n'étant plus clients de la plateforme au moment des faits.

L'explication avancée renvoie à une pratique classique lors de la fin d'un contrat : Doctolib exporterait de manière sécurisée les données vers l'établissement concerné, à charge pour ce dernier d'assurer ensuite leur hébergement et leur protection. C'est précisément à ce stade, une fois les données transférées, que la défaillance de sécurité se serait produite, en dehors du périmètre de responsabilité de la plateforme.

Des données sensibles mais pas (encore) de dossiers médicaux détaillés

Les informations qui circulent concerneraient un peu plus de 150 000 personnes. Elles comprendraient :

• des identités et coordonnées personnelles
• des éléments administratifs liés à des parcours de soins
• des adresses e-mail et références de correspondance

À ce stade, rien n'indiquerait que des données médicales détaillées — diagnostics, prescriptions, comptes rendus — aient été exposées dans ce dossier précis. Le risque n'en reste pas moins réel : ces informations suffisamment précises pourraient alimenter des campagnes de phishing ciblées, des tentatives d'usurpation d'identité ou des fraudes se faisant passer pour des professionnels de santé.

Un second incident, bien plus vaste, chez un autre acteur du secteur

Parallèlement à cette affaire, une enquête diffusée fin février a mis au jour un incident distinct chez l'éditeur de logiciels médicaux Cegedim, via son outil MLM (MonLogicielMedical.com). Ce dossier évoquerait, selon les éléments repris par plusieurs médias, une base de données accessible sur le dark web concernant entre 11 et 15 millions de personnes.

Cegedim reconnaît de son côté un « comportement anormal de requêtes applicatives » détecté fin 2025 sur des comptes de médecins utilisateurs du logiciel, touchant environ 1 500 praticiens sur les 3 800 clients de l'outil en France. L'éditeur affirme cependant que seules des données administratives auraient été concernées — nom, coordonnées, et un champ de commentaire libre rédigé par les médecins — et que les dossiers médicaux structurés seraient restés intacts.

Ce fameux champ libre poserait néanmoins problème : il aurait pu contenir, pour un nombre limité de patients, des annotations personnelles touchant à des informations sensibles (état de santé, éléments familiaux ou psychologiques), selon les constats relayés dans l'enquête.

Des conséquences concrètes pour les personnes concernées

Au-delà de la question de l'origine exacte des fuites, les spécialistes en cybersécurité alertent sur les usages possibles de ces données une fois diffusées :

• campagnes de phishing exploitant des informations crédibles et personnalisées
• usurpation d'identité
• discrimination potentielle lors d'une recherche d'emploi ou d'une souscription d'assurance

Un établissement de santé, à Belfort, aurait par ailleurs été cité en lien avec une fuite de données personnelles de patients, la direction de l'hôpital ayant pour l'instant temporisé sur le sujet selon des médias locaux.