Cyberattaque Maileva : les données de 22 millions de Français ont fuité, La Poste sort enfin du silence
Date 15-11-2026 08:59:52 | Sujet : Cyber-Sécurité
| Maileva, une filiale de Docaposte appartenant au groupe La Poste, a subi une importante cyberattaque à la mi-septembre 2026. Après plusieurs semaines de discrétion, l’entreprise publique a finalement reconnu auprès de l’AFP, le 14 novembre dernier, le vol des informations d’identification de 22 millions de personnes. Prénoms, noms et adresses postales des destinataires de courriers envoyés par ses clients professionnels se retrouvent ainsi dans la nature. Ce piratage massif, l’un des plus vastes jamais enregistrés en France, touche particulièrement les locataires de bailleurs sociaux ainsi que les patients d’hôpitaux et de laboratoires médicaux. Une enquête judiciaire est actuellement ouverte pour faire la lumière sur cet incident.
Que s’est-il réellement passé en septembre ?
Tout commence discrètement au début du mois de septembre 2026. Dès le 9, des activités inhabituelles sont repérées sur les serveurs de cette plateforme spécialisée dans l’envoi de courriers numériques et papier. Il faudra toutefois attendre les 16 et 17 septembre pour que les équipes techniques détectent formellement l’intrusion. Face à la gravité de la situation, la filiale de Docaposte prend une décision radicale : elle coupe préventivement l’ensemble de ses services le 23 septembre à 7 heures du matin. Une paralysie totale qui durera plusieurs jours, avant une remise en route progressive à la fin du mois, autour des 28 et 29 septembre.
D’après les premiers éléments techniques communiqués, un pirate informatique extérieur a réussi à exploiter une faille applicative. Cette brèche lui a ouvert les portes du système de production de l’entreprise. Au départ, la communication adressée aux clients professionnels se voulait plutôt rassurante, évoquant simplement des tentatives d’accès non autorisées destinées à expédier des courriers frauduleux. À ce stade, personne ne parlait encore d’un pillage de données à grande échelle. Pourtant, les investigations allaient vite révéler une réalité bien plus préoccupante.
L’ampleur réelle d’une fuite hors norme
En fouillant les journaux d’accès, les enquêteurs ont découvert que la base de suivi des correspondances avait été aspirée. Ce fichier colossal regroupait pas moins de 39 millions de références de courriers. Une fois les doublons retirés, le bilan humain donne le tournis : ce sont 22 millions de personnes uniques qui sont concernées. Comme les durées de conservation varient selon les contrats signés avec les entreprises clientes, certaines archives dérobées remontent jusqu’à dix ans en arrière.
Heureusement, dans la grande majorité des cas, le butin reste limité aux informations de base figurant sur une enveloppe : le prénom, le nom et l’adresse postale du destinataire. Les coordonnées bancaires des particuliers n’ont pas été compromises, selon les affirmations officielles du groupe postal.
Mais il y a des exceptions notables qui inquiètent davantage. L’Hôpital Foch, situé à Suresnes, a par exemple prévenu que l’assaillant avait pu consulter le contenu détaillé de certaines relances de paiement émises entre le 9 et le 23 septembre. Ces documents contenaient des numéros de facture, des dates de soins et les montants dus. Cette fuite a été rendue possible parce que l’établissement utilisait le prestataire Kiwee.care, qui sous-traitait l’impression et l’envoi à la filiale de La Poste.
Qui sont les organismes et les Français touchés ?
Puisque ce service agit dans l’ombre pour le compte d’autres structures, l’impact se mesure par ricochet. Ce sont plusieurs milliers d’entreprises et d’administrations clientes qui se retrouvent impliquées malgré elles dans cette affaire. Parmi les secteurs les plus exposés, on retrouve en première ligne des acteurs du quotidien des Français :
- Le logement social, avec des organismes comme Flandre Opale Habitat ou Altéal qui utilisent ces services pour envoyer les avis d’échéance et les courriers administratifs à leurs locataires.
- Le domaine de la santé, notamment les laboratoires d’analyses médicales du groupe Inovie et plusieurs établissements hospitaliers publics ou privés.
- De nombreuses collectivités locales, des services publics et des sociétés privées de toutes tailles.
Conformément aux obligations légales, le sous-traitant a averti l’ensemble de ses clients professionnels. Désormais, la balle est dans leur camp : c’est à chaque entreprise, chaque hôpital et chaque bailleur de prévenir individuellement les citoyens concernés. Résultat, les courriels et les lettres d’information arrivent au compte-gouttes dans les boîtes aux lettres, créant parfois un sentiment de flou chez les usagers qui ne comprennent pas toujours le lien entre leur laboratoire d’analyses et ce prestataire inconnu du grand public.
Pourquoi cette affaire n’éclate-t-elle au grand jour que maintenant ?
Beaucoup d’internautes s’étonnent d’apprendre seulement mi-novembre un piratage survenu deux mois plus tôt. En réalité, l’incident n’était pas totalement secret. Dès le 24 septembre, des plateformes spécialisées dans la veille cyber, comme Cyberattaque.org ou FrenchBreaches, avaient repéré l’arrêt des serveurs et suivaient le dossier de près. Au fil des semaines d’octobre et de novembre, ces observateurs avaient relayé les premières notifications envoyées par certains organismes à leurs usagers.
Mais jusqu’ici, l’ampleur exacte restait floue. Le chiffre vertigineux de 22 millions de victimes n’a été confirmé par écrit aux entreprises clientes qu’autour des 12 et 13 novembre. Il a fallu attendre la déclaration officielle de La Poste à l’Agence France-Presse, le 14 novembre dernier, pour que les grands médias nationaux s’emparent du sujet. Entre-temps, les experts en cybersécurité devaient mener des analyses détaillées et complexes pour mesurer précisément ce qui avait été exfiltré. De son côté, la direction avait choisi de réserver sa communication à ses partenaires commerciaux plutôt que de lancer une alerte publique immédiate, tout en ayant bien notifié la CNIL dès le 23 septembre, comme l’exige le règlement européen sur la protection des données.
Quels sont les risques concrets et comment se protéger ?
Même si vos mots de passe ou vos numéros de carte bleue ne font pas partie du lot, avoir son nom, son prénom et son adresse postale entre les mains de cybercriminels n’a rien d’anodin. Le danger principal, ce sont les arnaques ultra-ciblées. En croisant ces informations avec d’autres fuites de données plus anciennes, des escrocs peuvent concevoir des faux courriers papier, des SMS ou des courriels d’une crédibilité redoutable. Imaginez recevoir une fausse relance de loyer ou une facture impayée mentionnant exactement le nom de votre bailleur ou de votre laboratoire habituel : le piège devient très difficile à repérer.
Pour éviter de tomber dans le panneau, quelques réflexes élémentaires permettent de limiter les dégâts :
- Méfiez-vous systématiquement des demandes de paiement inattendues ou présentées comme urgentes, qu’elles arrivent par SMS, par mail ou même par courrier postal.
- Ne cliquez jamais sur les liens contenus dans un message de relance pour régler une somme. Passez toujours par votre navigateur pour vous connecter manuellement à votre espace client officiel.
- En cas de doute sur une facture médicale ou un avis d’échéance, appelez directement l’organisme concerné en utilisant le numéro de téléphone habituel figurant sur vos anciens documents, jamais celui indiqué sur le message suspect.
- Surveillez vos boîtes de réception pour repérer un éventuel courrier d’information de votre bailleur ou de votre centre de soins confirmant que vos données ont été exposées.
Une enquête ouverte et la question brûlante de la sous-traitance
Aujourd’hui, le volet judiciaire et administratif suit son cours. En parallèle de son signalement auprès de la Commission nationale de l’informatique et des libertés, la filiale de La Poste a déposé plainte, entraînant l’ouverture d’une enquête par la justice pour tenter d’identifier les auteurs de l’intrusion.
Au-delà de ce cas précis, cet épisode met une nouvelle fois en lumière la fragilité des chaînes de sous-traitance numérique. Les hôpitaux, les bailleurs sociaux ou les laboratoires ont beau blindé leurs propres systèmes informatiques, il suffit qu’un seul prestataire chargé d’imprimer et de poster leurs courriers soit compromis pour que des millions de dossiers se retrouvent exposés.
Cet effet domino montre qu’à l’heure où presque toutes les tâches administratives sont externalisées, la sécurité des données personnelles ne dépend plus seulement de l’organisme à qui on les confie, mais de l’ensemble des maillons invisibles qui travaillent derrière lui.
|
|