Compte Doctolib piraté : le rendez-vous qui n'est pas de vous

↑ Ce conseil fait partie du guide : Comptes en ligne piratés

Que faire si mon compte Doctolib est piraté ?

Vérifiez d'abord si quelque chose a réellement changé : un rendez-vous inconnu, un mot de passe qui ne passe plus, une information personnelle modifiée. Si oui, changez le mot de passe depuis un appareil de confiance, annulez le rendez-vous frauduleux et prévenez le praticien concerné. Si rien n'a bougé et que seul un e-mail ou un SMS inquiétant est arrivé, c'est presque toujours une tentative de phishing documentée : ne cliquez pas, et transférez le message à phishing@doctolib.com.

Les 5 signes d'une vraie intrusion

Doctolib ne prévient pas d'un piratage par un message alarmiste : c'est le compte lui-même qui porte les preuves. Cinq éléments, à vérifier dans cet ordre :

1. Un rendez-vous que vous n'avez pas pris : un praticien inconnu, une date qui ne correspond à rien, parfois dans une ville où vous n'allez jamais.
2. Le mot de passe ne fonctionne plus, alors que vous n'avez rien changé récemment.
3. Des informations personnelles modifiées : adresse e-mail, numéro de téléphone, nom affiché.
4. Une notification de connexion depuis un appareil ou une ville que vous ne reconnaissez pas.
5. Un message envoyé à un praticien que vous n'avez pas écrit vous-même.

Un seul de ces cinq points suffit à agir : pas besoin d'attendre d'en cumuler plusieurs.

Les faux messages qui imitent Doctolib

Plusieurs campagnes de phishing reprenant le logo Doctolib ont été documentées. Elles jouent sur trois prétextes récurrents :

Le prétexte	Le ressort	Le piège
Faux remboursement de quelques euros	Un petit montant paraît crédible et incite au clic rapide	Un lien qui demande vos coordonnées bancaires
Urgence médicale, rendez-vous à déplacer	La peur de perdre un créneau attendu depuis longtemps	Identifiants Doctolib volés sur une fausse page de connexion
Restriction de compte imminente	Le ton menaçant presse à « confirmer » tout de suite	Même mécanique, visant surtout les personnes âgées
Kit médical gratuit à réclamer	Un faux sondage promet un lot sans rien demander en apparence	Collecte de données personnelles et parfois bancaires

Dans chaque cas, le lien renvoie vers un site qui reproduit l'interface Doctolib : en cliquant, vous êtes redirigé vers cette copie, jamais vers doctolib.fr lui-même. Les informations saisies — identifiants, puis coordonnées bancaires — partent directement aux escrocs, qui agissent ensuite en quelques heures. Autre repère simple : contrairement aux courriers administratifs (impôts, CAF, Assurance maladie), Doctolib ne vous écrit jamais par courrier postal au sujet d'un rendez-vous ; toute vraie notification passe par e-mail, SMS ou l'application.

Reconnaître un vrai message, et signaler un faux

Les notifications légitimes liées à un rendez-vous ne proviennent que d'un nombre limité d'adresses : no-reply@doctolib.fr, no-reply@email.doctolib.com ou no-reply@infos.doctolib.com. Une adresse différente, même ressemblante, ou un domaine étranger au nom qui change d'une lettre, trahit presque toujours la fraude.

• Ne cliquez jamais sur le lien reçu : ouvrez l'application Doctolib ou tapez vous-même doctolib.fr.
• Ne communiquez ni identifiants ni coordonnées bancaires par e-mail ou SMS : Doctolib ne les demande jamais ainsi.
• Transférez le message suspect à phishing@doctolib.com : l'équipe sécurité peut demander la fermeture du site frauduleux.
• Signalez-le aussi sur la plateforme Pharos, et transférez un SMS suspect au 33700.
• Si vous avez déjà saisi vos identifiants sur une fausse page, changez le mot de passe immédiatement depuis l'application ou le site officiels, puis suivez la procédure ci-dessous.

Dans l'espace client, section Messagerie, Doctolib conserve une trace de toutes les notifications envoyées : si un message n'y figure pas, il n'a jamais été expédié par Doctolib, quelle que soit l'adresse affichée dans votre boite mail. C'est le réflexe le plus simple pour trancher entre un vrai message et un faux : comparez les emails reçus sur votre messagerie personnelle à cet historique, plutôt que de juger un courriel sur la seule apparence de son expéditeur. Doctolib peut aussi envoyer plusieurs mails pour un même rendez-vous — confirmation, rappel, modification — ce qui explique qu'une boîte de réception en contienne plusieurs sans que cela soit suspect en soi.

Le mécanisme est identique à l'arnaque au faux conseiller bancaire : un prétexte plausible, une urgence fabriquée, et une page qui ressemble à l'originale au pixel près.

Reprendre la main sur le compte

Si le mot de passe ne fonctionne plus ou qu'un rendez-vous inconnu est bien présent, l'ordre des gestes compte :

1. Cliquez sur « Mot de passe oublié » depuis l'écran de connexion. Un code à six chiffres est envoyé par e-mail ; le nouveau mot de passe doit faire au moins huit caractères.
2. Vérifiez les informations du compte : adresse e-mail, numéro de téléphone, nom affiché. Corrigez ce qui a été changé sans vous.
3. Annulez le rendez-vous frauduleux et prévenez le praticien par écrit : il n'a aucun moyen de deviner que ce n'est pas vous qui avez réservé.
4. Activez ou vérifiez la double authentification, détaillée plus bas : elle referme la porte même si le mot de passe a déjà fuité une fois.

Beaucoup de comptes Doctolib ne naissent pas d'une démarche volontaire : lors d'un premier rendez-vous pris par téléphone, le secrétariat du cabinet peut créer votre compte à votre place, sans passer par le formulaire habituel de création d'un compte. La création de votre compte se fait alors avec le numéro et l'adresse donnés à l'oral, parfois mal orthographiés. À la première connexion qui suit, aucun identifiant et mot de passe n'a encore été choisi par vous : le bouton « Mot de passe oublié » sert justement à en définir un, ce n'est pas un signe d'intrusion.

Le formulaire de connexion Doctolib ne distingue pas nom d'utilisateur et adresse mail : c'est la même case. Tapez votre adresse email telle qu'elle a été enregistrée à l'inscription, puis cliquez sur « Connectez-vous ». Si l'écran affiche « Veuillez saisir votre mot de passe » alors que vous êtes certain de le taper sans faute, c'est souvent le signe qu'il a déjà été changé par un intrus : passez directement par « Oublié votre mot de passe ? » plutôt que de multiplier les essais. Un message confirmant qu'un code a été envoyé à votre adresse apparaît alors ; cliquez sur Réinitialiser une fois le code saisi, pour choisir un nouveau mot de passe.

Ce nouveau mot de passe ne doit reprendre aucun de vos mots de passe habituels : huit caractères minimum, et l'ajout de majuscules, de minuscules et de quelques caractères spéciaux complique surtout un mot de passe déjà court — la longueur reste le critère qui compte le plus. Selon l'écran ou l'appareil, le bouton affiche parfois « Oublié mon mot de passe », parfois « Réinitialiser le mot de passe » : la formulation change, jamais la procédure. Une fois reconnecté, pensez à « Modifier mon mot de passe » dans l'espace client si vous l'aviez réutilisé ailleurs ; comme pour tout compte-client sur Internet, un mot de passe qui ne sert qu'à Doctolib limite les dégâts d'une fuite survenue sur un autre site.

Après plusieurs tentatives de connexion incorrectes, le compte peut se bloquer temporairement par mesure de protection, pas par piratage : dans ce cas, attendez 15 minutes avant de réessayer, plutôt que de multiplier les essais qui prolongent le blocage.

Si l'adresse e-mail associée au compte n'est plus accessible — boîte mail elle-même compromise ou abandonnée — la réinitialisation classique ne suffit pas. Il faut alors passer par l'assistance Doctolib via le centre d'aide, avec une pièce d'identité, votre date de naissance et la mention de l'ancienne comme de la nouvelle adresse : c'est plus lent, mais c'est la seule porte qui reste. Accédez ensuite à votre espace client en tapant l'adresse vous-même plutôt qu'en suivant un lien reçu : c'est la seule façon d'accéder à votre espace sans risquer une fausse page.

La double authentification devient obligatoire

C'est le changement qui déroute le plus de monde depuis le printemps 2026 : depuis le 13 mars 2026, la double authentification est généralisée à tous les comptes Doctolib et ne peut plus être désactivée. Un premier facteur par e-mail est désormais obligatoire à chaque connexion depuis un nouvel appareil ou en navigation privée ; le SMS et l'application Doctolib Pro restent des options supplémentaires, pas des remplacements.

Ce verrou qu'on découvre sans l'avoir demandé explique une partie des inquiétudes : un code soudain réclamé pour se connecter n'est pas un signe de piratage, c'est la nouvelle règle, pour tout le monde. Le renforcement intervient alors que la réglementation française impose, depuis le 1er janvier 2026, une authentification renforcée pour l'accès aux données de santé — une exigence qui dépasse Doctolib et vise l'ensemble des éditeurs de logiciels de santé.

Concrètement : si vous ne recevez jamais le code par e-mail, vérifiez le dossier spam avant de conclure à un blocage, et assurez-vous que l'adresse associée au compte est toujours la bonne. Une case « Mémoriser cet appareil » évite parfois de ressaisir le code à chaque connexion depuis le même ordinateur : à réserver à un appareil personnel, jamais à un poste partagé, une tablette familiale ou un ordinateur public, sous peine d'y dispenser quiconque l'utilise ensuite du second facteur.

Ce qu'un accès donne vraiment à voir

La peur, en cas d'intrusion, porte souvent sur le pire : que le dossier médical complet soit exposé. Ce n'est pas ce que Doctolib stocke de la même façon. Un accès au compte donne le nom, le prénom, le numéro de téléphone, l'adresse e-mail, ainsi que la date, le praticien et la spécialité des rendez-vous — des informations administratives, pas le contenu des consultations.

Le seul incident documenté publiquement illustre cette distinction : en juillet 2020, une faille a exposé les données de 6 128 rendez-vous pris via des logiciels tiers connectés à la plateforme. Doctolib avait précisé à l'époque qu'« aucune donnée médicale n'a pu être lue : aucun motif de rendez-vous, aucun document médical » n'avait été concerné, et qu'aucun mot de passe n'avait été compromis. L'attaque avait été stoppée, une plainte déposée, et la CNIL informée.

Ce distinguo ne change rien à la gravité d'un vrai piratage de compte individuel — nom, téléphone et agenda médical restent des données sensibles — mais il évite d'imaginer un dossier médical grand ouvert là où c'est un carnet de rendez-vous qui est en cause.

Le rendez-vous frauduleux : annuler, puis prévenir

Un rendez-vous pris en votre nom par un intrus n'est pas qu'un détail gênant : il occupe un créneau réel chez un professionnel de santé, parfois difficile à obtenir. Deux gestes, dans l'ordre :

• Annulez-le depuis le compte, une fois le mot de passe changé — pas avant, sous peine qu'un intrus encore connecté le reprogramme ailleurs.
• Prévenez le cabinet par écrit, en précisant que le rendez-vous résulte d'un piratage et non d'un oubli de votre part : cela évite un signalement d'absence injustifiée à votre dossier.

Si plusieurs rendez-vous ont été pris sur plusieurs jours, vérifiez l'historique complet plutôt que la seule page d'accueil : un intrus qui garde l'accès un moment multiplie parfois les réservations avant d'être repéré.

Doctolib n'est pas Mon espace santé

Les deux noms se confondent souvent dans l'inquiétude, et pourtant rien ne les relie techniquement : Doctolib est un service privé de prise de rendez-vous, utilisé par des praticiens libéraux et des établissements ; Mon espace santé est le dossier médical national géré par l'Assurance maladie, avec son propre identifiant et son propre code. Un compte Doctolib piraté n'ouvre pas le dossier médical complet de Mon espace santé, et réciproquement.

Si le doute porte plutôt sur un identifiant perdu ou un code provisoire périmé de ce second service, la procédure est différente : elle est détaillée dans identifiant introuvable ou code expiré sur Mon espace santé. Le même principe de prudence vaut pour les autres comptes administratifs liés à la santé : voir compte Ameli piraté pour la distinction équivalente côté Assurance maladie.

Porter plainte, et sur quel fondement

Une intrusion confirmée — mot de passe changé, rendez-vous ou informations modifiés sans vous — relève de deux infractions précises du code pénal : l'accès frauduleux à un système de traitement automatisé de données (article 323-1, jusqu'à trois ans d'emprisonnement et 100 000 € d'amende), et si votre identité a servi à tromper un tiers, l'usurpation d'identité numérique (article 226-4-1, un an et 15 000 € d'amende).

Avant de porter plainte, réunissez les preuves : capture d'écran datée du rendez-vous frauduleux ou du changement constaté, et le message de phishing s'il y en a un. Le dépôt de plainte en ligne et le bon guichet selon le préjudice détaillent la marche à suivre ; 17Cyber oriente gratuitement si le doute persiste sur l'ampleur de l'intrusion.

Questions fréquentes

Un rendez-vous que je n'ai pas pris apparaît sur mon compte Doctolib, suis-je piraté ?

C'est le signe le plus net d'une vraie intrusion, surtout s'il s'ajoute à un mot de passe qui ne fonctionne plus ou à des informations personnelles modifiées. Changez le mot de passe immédiatement, annulez le rendez-vous frauduleux et prévenez le praticien concerné : il n'a aucun moyen de deviner que ce n'est pas vous.

Doctolib m'a envoyé un message demandant de confirmer un remboursement, est-ce vrai ?

Non. Des campagnes documentées imitent Doctolib avec un faux remboursement de quelques euros, une urgence médicale à confirmer ou une restriction de compte. Les messages légitimes de rendez-vous ne proviennent que de no-reply@doctolib.fr, no-reply@email.doctolib.com ou no-reply@infos.doctolib.com, et jamais avec un lien qui réclame une carte bancaire.

Depuis quand la double authentification est-elle obligatoire sur Doctolib ?

Depuis le 13 mars 2026, elle est généralisée à tous les comptes et ne peut plus être désactivée : un code par e-mail est exigé à chaque connexion depuis un nouvel appareil, le SMS et l'application Pro restant optionnels. Ce renforcement intervient alors que la réglementation française impose, depuis le 1er janvier 2026, une authentification forte pour l'accès aux données de santé.

Quelles données un pirate peut-il voir sur mon compte Doctolib ?

Un accès à votre espace donne le nom, le téléphone, l'adresse e-mail, et la date, le praticien et la spécialité de vos rendez-vous. Lors du seul incident documenté publiquement, en juillet 2020, Doctolib avait précisé qu'aucun motif de consultation ni document médical n'avait été lu, et qu'aucun mot de passe n'avait été compromis.

Mon compte Doctolib est bloqué après plusieurs tentatives, que faire ?

C'est un blocage de protection, pas un piratage : attendez 15 minutes avant de réessayer, ou lancez directement la réinitialisation du mot de passe depuis l'écran de connexion. Si vous n'avez plus accès à l'adresse e-mail associée, l'assistance Doctolib demande une pièce d'identité et l'ancienne comme la nouvelle adresse.

Compte Doctolib piraté et Mon espace santé, est-ce la même chose ?

Non, ce sont deux services distincts. Doctolib est un service privé de prise de rendez-vous ; Mon espace santé est le dossier médical national de l'Assurance maladie. Un compte Doctolib piraté n'ouvre pas votre dossier médical complet, et inversement : voir mon espace santé, qui a accès à mon dossier pour l'autre cas.

Dois-je aussi surveiller ma carte bancaire après ce piratage ?

Doctolib ne demande jamais de numéro de carte pour un rendez-vous, qui reste gratuit. Mais si vous avez déjà saisi le numéro de votre carte sur une fausse page imitant Doctolib, prévenez votre banque en priorité : faites opposition sur votre carte et surveillez les mouvements des jours suivants, en plus de changer le mot de passe du compte.

Sources

• Cachem — phishing Doctolib, détecter les arnaques et sécuriser ses données de santé (adresses officielles, phishing@doctolib.com).
• ID Protect — arnaque Doctolib par e-mail et SMS.
• Senior Actu — l'arnaque au faux message Doctolib.
• Clubic — l'incident Doctolib de juillet 2020 (6 128 rendez-vous, aucune donnée médicale).
• Doctolib — configurer la double authentification.
• esante.gouv.fr — obligation de double authentification pour les données de santé.
• Légifrance — code pénal, article 323-1 (accès frauduleux).
• Cybermalveillance.gouv.fr — fiche réflexe piratage de compte.

À lire aussi : comment savoir qui a piraté mon compte · double authentification, comment ça marche · compte suspendu, bloqué ou banni.