اختراق مايليفا سرق أسماء وعناوين 22 مليون شخص. وبعض الرسائل كشفت المزيد

أكدت لا بوست الرقم لوكالة فرانس برس في 14 نوفمبر 2026، بعد يوم من نشر Cyberattaque.org الإجمالي. والضحايا هم متلقو مراسلات أرسلها عملاء مايليفا من الشركات، وليس بالضرورة أشخاصًا فتحوا حسابًا لدى مايليفا أو حتى علموا بوجودها. وقد تأثرت عدة آلاف من المؤسسات العميلة.⁠10⁠6⁠1

تقول مايليفا إن البيانات المصرفية لم تتأثر. لكن إشعارات العملاء الأفراد توضح حدود هذا التأكيد: فقد تضمنت بعض الرسائل التي ربما أتيح الوصول إليها أرقام فواتير فعلية أو تواريخ رعاية أو مبالغ مستحقة أو معلومات عن السكن. ويمكن لهذه التفاصيل أن تجعل طلب دفع احتيالي يبدو كأنه معاملة عالقة مع مؤسسة يعرفها المتلقي بالفعل.⁠6⁠8⁠27

يقيس الرقمان أمرين مختلفين. فإجمالي 22 مليونًا يستثني تكرار الأفراد. وتفيد BigGo Finance بوجود نحو 39 مليون مرجع بريدي، استنادًا إلى وثائق داخلية منسوبة إلى دوكابوست: فقد يتلقى الشخص الواحد عدة رسائل، بما فيها رسائل من مؤسسات مختلفة. ولا يثبت أي من الرقمين أن المراسلات الكاملة لكل متلقٍ قد سُرقت.⁠1

تعمل مايليفا ضمن دوكابوست، التابعة لمجموعة لا بوست المملوكة للدولة. وتطبع المراسلات المهنية وترسلها بالبريد، بما فيها الفواتير وتذكيرات الدفع وكشوف الرواتب والرسائل المسجلة. ويعلن موقعها الإلكتروني أن لديها أكثر من 70,000 مستخدم و20,000 عميل. ويضع نموذج الأعمال هذا معلومات من مؤسسات كثيرة، مستقلة في ما عدا ذلك، لدى وسيط واحد، ويعرّض أشخاصًا لم يختاروا هذا الوسيط قط للاختراق نفسه.⁠6⁠1⁠20

يُقال إن الهجوم وقع في منتصف سبتمبر، لكن تاريخ بدايته الدقيق لم يُحدد. وما وثق بدقة هو الاستجابة التشغيلية: علقت مايليفا خدماتها في 23 سبتمبر عند الساعة 7 صباحًا، بعد نشاط مريب ومحاولات غير مصرّح بها للدخول إلى حسابات العملاء. وركزت رسالتها الأولية على محاولة مهاجم إرسال رسائل من دون إذن أصحاب الحسابات.⁠7⁠18

طمأنت رسالة مؤرخة في 24 سبتمبر، أعاد موقع eWatchers نشرها، أحد العملاء إلى أن حسابه لم يتعرض لمحاولات الدخول تلك، وأنه لم يُرصد أي بريد صادر من بوابة العملاء أو حساب واجهة برمجة التطبيقات الخاص به. وكان ذلك تصريحًا يتعلق بحساب بعينه وبمحاولات إساءة الاستخدام، لا استنتاجًا بأن المعلومات على مستوى المنصة ظلت سرية. ولم يُعلن في تلك الرسالة عن سرقة واسعة النطاق.⁠18

ذكر إشعار للمنصة بتاريخ 28 سبتمبر إعادة فتح تدريجية، مع استمرار انتظار استعادة الوصول إلى مساحة العملاء ووظائفها كاملة. ويفيد Cyberattaque.org بأن العمليات الكاملة استؤنفت في 29 سبتمبر، بعد ستة أيام. وكانت هذه مراحل للتعافي، لا روايات متعارضة عن موعد إعادة فتح الخدمة نفسها.⁠18⁠10

بحلول 9 أكتوبر، بدأت مشكلة السرية تتضح أكثر. وكشفت منظمة للصحة المهنية في كورنواي عن وصول غير مصرّح به إلى قاعدة بيانات لتتبع البريد، تضم معلومات المرسلين والمتلقين وأسماء الملفات المرتبطة بها. ولم تتمكن المنظمة من تحديد ما إذا كانت الرسائل الكاملة قد قُرئت أو استُخرجت. وحتى هذا الانكشاف الأضيق نطاقًا مهم: إذ يمكن لهوية جهة طبية مرسلة أو لاسم ملف كاشف أن يفصح عن أمر شخصي من دون أن يفتح أحد المستند.⁠10

يقدم مستشفى فوش في سورين أوضح مثال موثق على احتمال انكشاف محتوى الرسائل. يستخدم المستشفى خدمة كي وي لإرسال تذكيرات بالدفع؛ وتتولى مايليفا طباعتها وإرسالها بالبريد. وعلم فوش في 28 أكتوبر أن بعض محتويات التذكيرات ربما جرى الاطلاع عليها، بحسب إشعاره الصادر في 6 نوفمبر.⁠8

يحدد الإشعار التذكيرات التي تلقاها المرضى بين 9 سبتمبر و23 سبتمبر 2026. وإلى جانب الأسماء والعناوين، تتضمن أرقام الفواتير وتواريخ الرعاية والمبالغ المستحقة. لكنها لا تصف العلاج ولا تتضمن بيانات المرضى المصرفية. غير أنها تكشف أن شخصًا محددًا بالاسم تلقى رعاية في فوش، وهي علاقة يقر المستشفى صراحة بأنها معلومات حساسة.⁠8

قال فوش إنه لم تُغيَّر أي بيانات أو تُحذف عند إصدار إشعاره. وأبلغ هيئة حماية البيانات الفرنسية، CNIL، وطلب تفاصيل من كي وي ومايليفا، ونبّه فرق الاستقبال والفوترة. ويقول الإشعار إن مايليفا عالجت الثغرة وعززت الأمن. وتعالج هذه الإجراءات وضع النظام، لكنها لا تثبت استعادة نسخ المعلومات التي جرى الوصول إليها.⁠8

كشفت إنوفي أيضًا عن فقدان السرية الذي مسّ بعض المرضى في عدة مختبرات. ويحدد إشعارها الأسماء الأولى وأسماء العائلات والعناوين البريدية، مع استبعاد بيانات الدفع وكلمات المرور. والأهم أنه يقول إن قائمة الأشخاص الذين ربما تأثروا لم تكن قد أُعدت بعد، لا إن تحديد هوياتهم مستحيل بالضرورة. ولا يعني نشر إشعارات على مواقع إلكترونية لعدة مختبرات أن كل مختبر أو كل مريض قد تأثر.⁠35⁠10

أما بالنسبة إلى مستأجري المساكن، فقد يمتد الانكشاف المحتمل إلى فترة أبعد بكثير. ويقول إشعار فلاندر أوبال أويتابا الصادر في 3 نوفمبر إن المعلومات الواردة في المراسلات المرسلة خلال السنوات العشر السابقة ربما كانت متاحة. وبحسب الرسالة، يشمل ذلك بيانات الاتصال وأرقام العملاء ومعلومات السكن ومعلومات إدارية أو مالية مثل مبالغ الفواتير. ولم تقدم المؤسسة عدد المستأجرين المتأثرين، وتنبه إلى أن التحذير لا يعني بالضرورة أن معلومات مستأجر بعينه قد جرى الاطلاع عليها أو استخدامها.⁠27⁠1

تحدد ألتيال وإريليا الأسماء والجنس والعناوين البريدية التي يحتمل انكشافها. وتحذر المؤسستان من أن أسماء الملفات قد تكشف ظروفًا شخصية أو معاملات إدارية، ما يجعل الرسالة الاحتيالية أكثر إقناعًا. وكانت إريليا لا تزال تتحقق مما إذا كانت معلومات أخرى من الملفات قد ظهرت؛ ولم يكن هناك ما يشير حينها إلى انكشاف البيانات المصرفية أو كلمات المرور أو وثائق الهوية. وسجلت كلتا المؤسستين الإجراءات الرسمية الخاصة بهما لدى CNIL.⁠16⁠15

شبكة النقل IZILO التي تخدم لوريان هي عميل آخر متأثر. ويشمل ما أفصحت عنه انكشاف صيغ المخاطبة والأسماء والعناوين البريدية وأسماء الملفات المرتبطة بها، لا البيانات المصرفية. وتوضح هذه الإشعارات مجتمعة سبب عدم كفاية القائمة الوطنية للحقول التي تأكدت سرقتها لوصف مخاطر كل متلقٍ وصفًا كاملًا. فالانكشاف الإضافي يتوقف على ما أدرجته كل مؤسسة في بريدها.⁠10

الخطر المباشر هو انتحال الهوية باستخدام معلومات صحيحة. فقد يورد تذكير زائف رقم فاتورة أو تاريخ رعاية أو مبلغًا مستحقًا حقيقيًا، ثم يستبدل به تعليمات دفع تخص مجرمًا. ويحذر فوش من أن المحتالين قد ينتحلون صفة المستشفى أو كي وي أو نظام التأمين الصحي أو شركة تأمين تعاضدي، عبر البريد الإلكتروني أو الرسائل النصية أو الهاتف أو البريد الورقي. والمراسلات الورقية ليست موثوقة بطبيعتها لمجرد أن الخدمة الأصلية ترسل الرسائل.⁠8

هناك حدود مهمة لما هو معروف. فقد أفادت فلاندر أوبال أويتابا وألتيال وإريليا بعدم علمها بأي استخدام احتيالي عند إصدار تحذيراتها. ولم يثبت نشر الملفات المسروقة أو بيعها. وهذه حدود لما تثبته الأدلة، وليست ضمانات تمنع إساءة الاستخدام.⁠27⁠16⁠15⁠1

القاعدة العملية هي التحقق من أي طلب غير متوقع عبر بيانات اتصال جرى الحصول عليها من مصدر مستقل، لا عبر الرقم أو الرابط الوارد في الرسالة. ويقول فوش وكي وي إنهما لن يطلبا كلمات المرور أو رموز الأمان أو البيانات المصرفية عبر البريد الإلكتروني أو الرسائل النصية أو الهاتف. إذا كُشفت كلمة مرور، فغيّرها؛ وإذا دُفع مال لمحتال، فاتصل بالبنك فورًا وقدّم شكوى.⁠8

هذا لا يعني وجوب ترك الفواتير المشروعة من دون سداد. فما زال فوش يقبل الدفع عبر خدمته الرسمية على الإنترنت أو مكتب استقبال المستشفى أو شيك محرر باسم جمعية مستشفى فوش. ويمكن إجراء التحويلات المصرفية بعد الحصول مباشرة على بيانات حساب المستشفى من خدمة التحصيل التابعة له. والتحقق الأساسي هو من الجهة التي قدمت تعليمات الدفع، لا مما إذا كان الطلب يتضمن معلومات مألوفة.⁠8

أبلغت مايليفا CNIL وقدمت شكوى، ويجري تحقيق قضائي. وتقول لا بوست إن جميع الشركات المتأثرة قد أُبلغت. ولا تثبت هذه الإجراءات المسؤولية التنظيمية، ولا تحدد هوية المهاجم، ولا تحسم المدى الكامل للوصول إلى المستندات.⁠4

كما أن إبلاغ الشركات لا يثبت أن الأشخاص البالغ عددهم 22 مليونًا قد أُبلغوا جميعًا. وتقع مسؤولية التواصل مع متلقي المراسلات على المؤسسات التي استلموا مراسلاتها: مستشفى أو مختبر، أو مالك عقار، أو مشغل نقل. ولا يوجد حتى الآن عدد عام موحد للأفراد الذين أُبلغوا. وهذا هو الجانب غير المكتمل من هذا الاختراق: ليس ما إذا كانت مايليفا تستطيع إرسال الرسائل مجددًا، بل ما إذا كان المتلقون يعرفون ما يكفي عن انكشاف بياناتهم لتمييز الرسالة الزائفة المقنعة.⁠1