Zum Inhalt springen
Jetzt

Technologie · Datenleck bei Maileva

Datenleck bei Maileva: Namen und Adressen von 22 Millionen Menschen gestohlen – manche Briefe gaben mehr preis

La Poste bestätigte den Diebstahl Wochen nach der Wiederaufnahme des Betriebs von Maileva. Mitteilungen von Kunden zeigen, wie Krankenhausrechnungen und Wohnkorrespondenz Zahlungsbetrug überzeugender machen könnten.

Verfasst 6 Min. Lesezeit · 48 Quellen

HeyDex

Video in der Originalsprache

Aus dem englischen Original übersetzt.

Mailevas Postdienst war seit mehr als sechs Wochen wieder in Betrieb, als La Poste das Ausmaß des Diebstahls bestätigte: Namen und Postanschriften von 22 Millionen Menschen. Die Abschaltung im September war vorbei. Die Folgen für Patienten, Mieter und andere Empfänger von Briefen waren es nicht.⁠1⁠6

La Poste bestätigte die Zahl am 14. November 2026 gegenüber AFP, einen Tag nachdem Cyberattaque.org die Gesamtzahl veröffentlicht hatte. Bei den Betroffenen handelte es sich um Empfänger von Sendungen, die Geschäftskunden von Maileva verschickt hatten – nicht unbedingt um Menschen, die selbst ein Konto bei Maileva eröffnet hatten oder überhaupt wussten, dass es den Dienst gibt. Mehrere tausend Kundenorganisationen sind betroffen.⁠10⁠6⁠1

Maileva erklärt, dass Bankdaten nicht betroffen waren. Mitteilungen einzelner Kunden zeigen jedoch, warum diese Zusicherung nur begrenzt beruhigt: Einige möglicherweise zugängliche Briefe enthielten echte Rechnungsnummern, Behandlungsdaten, offene Beträge oder Wohnungsinformationen. Solche Angaben können eine betrügerische Zahlungsaufforderung wie eine noch offene Angelegenheit mit einer Organisation erscheinen lassen, die dem Empfänger tatsächlich bekannt ist.⁠6⁠8⁠27

22 MillionenMenschen, deren Namen und Adressen gestohlen wurden 16
~39 MillionenBerichten zufolge kompromittierte Postreferenzen in der Datenbank 1

Die beiden Zahlen messen unterschiedliche Dinge. Bei der Gesamtzahl von 22 Millionen wurden doppelt gezählte Personen herausgerechnet. BigGo Finance berichtet unter Berufung auf interne, Docaposte zugeschriebene Dokumente von rund 39 Millionen Postreferenzen: Eine Person kann mehrere Briefe erhalten, auch von verschiedenen Organisationen. Keine der beiden Zahlen belegt, dass die vollständige Korrespondenz aller Empfänger gestohlen wurde.⁠1

Maileva ist Teil von Docaposte, das zur staatlichen La-Poste-Gruppe gehört. Das Unternehmen druckt und versendet Geschäftskorrespondenz, darunter Rechnungen, Zahlungserinnerungen, Gehaltsabrechnungen und Einschreiben. Auf seiner Website wirbt es mit mehr als 70.000 Nutzern und 20.000 Kunden. Dieses Geschäftsmodell bündelt Informationen vieler ansonsten voneinander unabhängiger Organisationen bei einem einzigen Dienstleister – und bringt Menschen, die sich nie für diesen Dienstleister entschieden haben, in Reichweite desselben Datenlecks.⁠6⁠1⁠20

Ein wiederhergestellter Dienst, ein ungelöstes Datenleck

Der Angriff wird auf Mitte September datiert; sein genaues Anfangsdatum ist nicht bekannt. Präzise dokumentiert ist die operative Reaktion: Maileva setzte seine Dienste am 23. September um 7 Uhr aus, nachdem verdächtige Aktivitäten und unbefugte Versuche festgestellt worden waren, in Kundenkonten einzudringen. In seiner ersten Mitteilung ging es vor allem um einen Angreifer, der ohne Erlaubnis der Kontoinhaber Briefe versenden wollte.⁠7⁠18

In einer von eWatchers wiedergegebenen Nachricht vom 24. September wurde ein Kunde beruhigt: Bei seinem Konto habe es keine solchen Zugriffsversuche gegeben, und über sein Kundenportal oder API-Konto sei keine ausgehende Post festgestellt worden. Das war eine kontospezifische Aussage zu versuchtem Missbrauch – keine Feststellung, dass die Informationen auf der gesamten Plattform vertraulich geblieben waren. In dieser Nachricht wurde kein Massendiebstahl bekannt gegeben.⁠18

In einer Plattformmitteilung vom 28. September wurde eine schrittweise Wiedereröffnung beschrieben; der Zugang zum Kundenbereich und dessen vollständige Funktionen standen noch aus. Laut Cyberattaque.org wurde der vollständige Betrieb am 29. September nach sechs Tagen wieder aufgenommen. Das waren verschiedene Phasen der Wiederherstellung, keine widersprüchlichen Angaben dazu, wann derselbe Dienst wieder geöffnet wurde.⁠18⁠10

Bis zum 9. Oktober wurde das Datenschutzproblem deutlicher. Eine arbeitsmedizinische Organisation in Cornouaille machte einen unbefugten Zugriff auf eine Datenbank zur Sendungsverfolgung bekannt, die Absender- und Empfängerinformationen sowie zugehörige Dateinamen enthielt. Sie konnte nicht feststellen, ob ihre vollständigen Schreiben gelesen oder entwendet worden waren. Auch diese engere Form der Offenlegung ist bedeutsam: Die Identität eines medizinischen Absenders oder ein aussagekräftiger Dateiname kann persönliche Informationen preisgeben, ohne dass jemand das Dokument öffnet.⁠10

Was die Mitteilungen der Kunden erkennen lassen

Das Hôpital Foch in Suresnes liefert das am besten dokumentierte Beispiel für möglicherweise offengelegte Briefinhalte. Das Krankenhaus nutzt Kiwee für den Versand von Zahlungserinnerungen; Kiwee lässt sie von Maileva drucken und versenden. Foch erfuhr am 28. Oktober, dass möglicherweise auf den Inhalt einiger Zahlungserinnerungen zugegriffen worden war, wie aus der Mitteilung vom 6. November hervorgeht.⁠8

Die Mitteilung nennt Zahlungserinnerungen, die zwischen dem 9. und 23. September 2026 eingegangen waren. Neben Namen und Adressen enthalten sie Rechnungsnummern, Behandlungsdaten und offene Beträge. Sie beschreiben weder die Behandlung noch enthalten sie Bankdaten der Patienten. Sie lassen jedoch erkennen, dass eine namentlich genannte Person im Foch behandelt wurde – ein Zusammenhang, den das Krankenhaus ausdrücklich als sensible Information einstuft.⁠8

Foch erklärte bei Veröffentlichung seiner Mitteilung, dass keine Daten verändert oder gelöscht worden seien. Das Krankenhaus benachrichtigte die französische Datenschutzbehörde CNIL, bat Kiwee und Maileva um nähere Angaben und informierte die Teams am Empfang und in der Abrechnung. Laut Mitteilung hat Maileva die Schwachstelle behoben und die Sicherheit verstärkt. Diese Maßnahmen betreffen das System; sie belegen nicht, dass Kopien der abgerufenen Informationen wiederbeschafft wurden.⁠8

Auch Inovie hat einen Verlust der Vertraulichkeit offengelegt, von dem einige Patienten in mehreren Laboren betroffen sind. In der Mitteilung werden Vor- und Nachnamen sowie Postanschriften genannt; Zahlungsdaten und Passwörter seien nicht betroffen. Entscheidend ist, dass die Liste der möglicherweise betroffenen Personen noch nicht erstellt worden war – nicht, dass ihre Identifizierung zwangsläufig unmöglich wäre. Mitteilungen auf den Websites mehrerer Labore bedeuten nicht, dass jedes Labor oder jeder Patient betroffen war.⁠35⁠10

Bei Mietern von Wohnraum kann die mögliche Offenlegung viel weiter zurückreichen. In der Mitteilung von Flandre Opale Habitat vom 3. November heißt es, dass Informationen in Korrespondenz aus den vorangegangenen zehn Jahren zugänglich gewesen sein könnten. Je nach Brief umfasst dies Kontaktdaten, Kundennummern, Wohnungsinformationen sowie Verwaltungs- oder Finanzangaben wie Rechnungsbeträge. Das Unternehmen hat keine Zahl betroffener Mieter genannt und weist darauf hin, dass die Warnung nicht bedeutet, dass auf die Informationen eines bestimmten Mieters tatsächlich zugegriffen oder sie verwendet wurden.⁠27⁠1

Altéal und Erilia nennen möglicherweise offengelegte Namen, Geschlecht und Postanschriften. Beide warnen, dass Dateinamen persönliche Umstände oder Verwaltungsvorgänge erkennen lassen könnten, wodurch betrügerische Nachrichten überzeugender wirken. Erilia prüfte noch, ob weitere Informationen aus den Akten sichtbar gewesen waren; zu diesem Zeitpunkt deutete nichts auf eine Offenlegung von Bankdaten, Passwörtern oder Ausweisdokumenten hin. Beide Unternehmen erledigten ihre eigenen Meldeformalitäten bei der CNIL.⁠16⁠15

Auch das Verkehrsnetz IZILO, das Lorient bedient, ist ein betroffener Kunde. Zu den offengelegten Daten gehören Anredeformen, Namen, Postanschriften und zugehörige Dateinamen, nicht aber Bankdaten. Zusammengenommen zeigen diese Mitteilungen, warum die landesweite Liste der bestätigten gestohlenen Datenfelder das Risiko für die einzelnen Empfänger nicht vollständig abbildet. Welche weiteren Informationen offengelegt wurden, hängt davon ab, was jede Organisation in ihren Briefverkehr aufgenommen hat.⁠10

Eine korrekte Rechnung beweist wenig

Die unmittelbare Gefahr besteht in Identitätsbetrug mit authentischen Informationen. Eine gefälschte Zahlungserinnerung kann eine echte Rechnungsnummer, ein Behandlungsdatum oder einen offenen Betrag nennen und dann die Zahlungsanweisungen eines Kriminellen einsetzen. Foch warnt, dass Betrüger sich per E-Mail, SMS, Telefon oder Brief als Krankenhaus, Kiwee, Krankenversicherung oder Zusatzversicherung ausgeben könnten. Schriftliche Post ist nicht automatisch vertrauenswürdig, nur weil der ursprüngliche Dienst Briefe zugestellt hat.⁠8

Was bekannt ist, hat wichtige Grenzen. Flandre Opale Habitat, Altéal und Erilia meldeten zum Zeitpunkt ihrer Warnungen keine bekannten betrügerischen Verwendungen. Eine öffentliche Veröffentlichung oder ein Verkauf der gestohlenen Dateien ist nicht belegt. Das sind Grenzen der Beweislage, keine Garantie dafür, dass es nicht zu einem Missbrauch kommen kann.⁠27⁠16⁠15⁠1

Die praktische Regel lautet: Eine unerwartete Zahlungsaufforderung über unabhängig beschaffte Kontaktdaten überprüfen, nicht über die in der Nachricht angegebene Nummer oder den dort enthaltenen Link. Foch und Kiwee erklären, dass sie niemals per E-Mail, SMS oder Telefon nach Passwörtern, Sicherheitscodes oder Bankdaten fragen. Wurde ein Passwort preisgegeben, sollte es geändert werden; wurde Geld an einen Betrüger gezahlt, sollte man sofort die Bank kontaktieren und Anzeige erstatten.⁠8

Das bedeutet nicht, dass berechtigte Rechnungen unbezahlt bleiben sollten. Foch nimmt weiterhin Zahlungen über seinen offiziellen Onlinedienst, am Empfang des Krankenhauses oder per Scheck an, ausgestellt auf association Hôpital Foch. Überweisungen sind möglich, nachdem man die Kontodaten des Krankenhauses direkt bei dessen Inkassostelle eingeholt hat. Entscheidend ist, wer die Zahlungsanweisungen übermittelt hat – nicht, ob die Aufforderung bekannte Informationen enthält.⁠8

Maileva hat die CNIL benachrichtigt und Anzeige erstattet; eine gerichtliche Untersuchung ist im Gange. La Poste erklärt, alle betroffenen Unternehmen seien informiert worden. Diese Maßnahmen belegen weder eine aufsichtsrechtliche Haftung noch identifizieren sie den Angreifer oder klären das gesamte Ausmaß des Zugriffs auf Dokumente.⁠4

Die Information der Unternehmen belegt auch nicht, dass alle 22 Millionen Menschen erreicht wurden. Die Benachrichtigung der Empfänger obliegt den Organisationen, von denen sie Post erhalten haben: einem Krankenhaus oder Labor, einem Vermieter oder einem Verkehrsbetrieb. Eine zusammengefasste öffentliche Zahl der benachrichtigten Personen gibt es weiterhin nicht. Das ist der noch offene Teil dieses Datenlecks: nicht, ob Maileva wieder Briefe verschicken kann, sondern ob die Empfänger genug über ihre eigene Gefährdung wissen, um eine überzeugende Fälschung zu erkennen.⁠1

Quellen37

Von den hier zitierten Quellen veröffentlichte Cyberattaque.org zuerst, 4 Tage vor der Ausstrahlung dieses Berichts. 16 weitere Medien folgten.
  1. Cyberattaque.org
  2. Nity Pro
  3. Cyberiack
  4. Linternaute.com
  5. Economie Matin
  6. Google News France (FR:fr)
  7. Google News France (FR:fr)
  8. Google News France (FR:fr)
  9. +9 weitere Medien
  10. HeyDay News

13 ältere Beiträge als Hintergrund gelesen.12 Medien ohne Datumsangabe:Maileva - Plateforme de confiance numérique pour entreprisesInYourGeekAltéalAnas Sahelerilia.frFlandre Opale Habitat

Alle Quellen nach Medium

48 Quellen aus 37 Medien· Meistzitierte zuerst

Wie ausgestrahlt
  1. Hackers stole names and postal addresses belonging to 22 million people. The victims received letters from businesses using Maileva, including healthcare and housing organizations. Some customer records could give fraudsters real billing details to make a false payment demand convincing.
  2. How much additional information did those letters expose, and how many recipients have been told their data was stolen?
  3. Maileva prints and posts correspondence for companies and public organizations. It operates within Docaposte, part of the state-owned La Poste group. A patient or tenant may never have known that this intermediary handled their letters.
  4. Its work includes invoices, payment reminders, payslips, administrative letters, meeting notices and registered mail. Maileva advertises more than 70,000 users and 20,000 clients. It processed a reported 180 million documents in 2024. Several thousand business customers are affected by this breach.
  5. La Poste's 22 million total removes duplicate individuals. The compromised database reportedly held approximately 39 million mail references. One person can receive several letters, including letters from different organizations using the same provider.
  6. La Poste confirmed the scale on November 14, 2026. The figure had become public the previous day. The service itself had already reopened in September, more than six weeks before that confirmation.
  7. The confirmed stolen fields are first names, surnames and postal addresses. Maileva says bank details weren't affected. Individual customers describe potentially accessible correspondence containing more personal information, including invoice details and the fact that someone received hospital care.
  8. Maileva stopped services on September 23 after suspicious activity and attempts to enter customer accounts without permission. Its early warning focused on an attacker trying to send letters through other people's accounts. The company blocked accounts and halted operations as a precaution.
  9. The suspension began at seven in the morning on September 23. A September 28 message described progressive reopening. Full operations resumed September 29, after six days. La Poste confirmed the 22 million-person scale on November 14.
  10. A September 24 message reassured one customer that its account hadn't suffered those access attempts or sent unauthorized letters. That reassurance concerned that customer's account and attempted misuse. Maileva hadn't announced the large-scale theft then. September 23 marks the shutdown; the attack was described as happening in mid-September.
  11. An occupational-health organization in Cornouaille disclosed access to a mail-tracking database on October 9. Potentially accessible information included sender and recipient identities, postal and email addresses, sender identifiers and filenames associated with letters.
  12. The organization couldn't tell whether anyone had read or extracted its full letters. But a filename or a medical sender's identity can itself reveal something personal. Restoring the ability to send mail hadn't resolved the consequences for information already accessed.
  13. Subscribe to this channel to follow which recipients are notified and what their organizations disclose next.
  14. Hôpital Foch's payment reminders show how personal information passes through several companies. The hospital uses Kiwee to send reminders. Kiwee then asks Maileva to print and post them, placing patients' correspondence inside the breached service.
  15. The hospital learned on October 28 that some reminder contents might have been read. Its November 6 notice identifies reminders received between September 9 and September 23. Alongside names and addresses, those letters contain invoice numbers, dates of care and amounts due.
  16. Foch says the letters don't describe the treatment or contain bank details. They do identify someone as having received care at the hospital. That relationship is sensitive information, even when the letter doesn't reveal a diagnosis.
  17. Foch said no data had been changed or deleted when it issued its notice. It notified France's data-protection regulator, the CNIL, requested details from Kiwee and Maileva, and alerted reception and billing staff. Its notice says Maileva corrected the vulnerability and strengthened security.
  18. Kiwee confirms correspondence for certain healthcare clients was involved. Inovie also says some patients at several laboratories lost confidentiality of their names and postal addresses. Its notice excludes payment data and passwords, and says it hadn't yet identified the potentially affected patients.
  19. Notifications appeared across AXBIO, BioMedilab, Biofusion, CBM, Gen-Bio, Biopyrénées and Labosud. A Novabio communication was reported on November 2. The notices concern some patients; each laboratory's own notification defines its scope. The exposed information passed through the mailing provider.
  20. Flandre Opale Habitat warns that correspondence spanning ten years could have been accessible. Its November 3 notice covers possible exposure of contact details, customer numbers, housing information and administrative or financial information, including invoice amounts.
  21. The provider manages approximately 20,000 homes across 259 communes in Hauts-de-France. It hasn't given an affected-tenant count. It cautions that a tenant's information wasn't necessarily read or used. Tenant-election documents were handled by Paragon and are excluded from this incident.
  22. Altéal and Erilia identify potentially exposed names, gender and postal addresses. Both warn that filenames could disclose someone's circumstances or administrative dealings. A scammer could use that context to make a message about a person's housing file more believable.
  23. Altéal manages more than 14,000 homes in Occitanie; its notification was reported November 9. Erilia was still checking whether other dossier information had been visible. It said nothing then indicated exposure of bank data, passwords or identity documents. Both made their own CNIL filings.
  24. The IZILO transport network in Lorient is also affected. Its exposed information includes forms of address, names, postal addresses and associated filenames. IZILO says bank details weren't involved. Healthcare, housing and transport customers share the consequences of one intermediary's breach.
  25. Flandre Opale Habitat, Altéal and Erilia reported no known fraudulent use when they issued their warnings. Public release or sale of the stolen files hasn't been confirmed. The immediate risk is impersonation using authentic information that a recipient recognizes.
  26. A false reminder can quote a genuine invoice number, care date or amount due, then direct payment to a criminal. Foch warns that scammers could impersonate the hospital, Kiwee, the health-insurance system or a mutual insurer through email, text, telephone or paper mail.
  27. Verify an unexpected demand through contact details you've obtained separately. Don't use the number or link supplied in that message. The correct name, tenancy reference or invoice amount doesn't prove that the person asking for money is entitled to receive it.
  28. Foch and Kiwee say they won't ask for a password, security code or bank details by email, text or telephone. If you've given a scammer a password, change it. If you've paid a fraudster, contact your bank immediately and file a complaint.
  29. Foch still accepts legitimate payments through its official online payment service, hospital reception, or a cheque payable to association Hôpital Foch. Bank transfers are also possible after obtaining the hospital's bank-account details directly from its collections service. Verify substituted payment instructions before sending money.
  30. Maileva has notified the CNIL and filed a complaint. A judicial investigation is underway. La Poste says all affected businesses have been informed. Those organizations must assess their notification obligations and communicate with the people whose information they handle.
  31. A patient may hear from a hospital or laboratory, a tenant from a landlord, and a passenger from a transport operator. The confirmed nationwide theft covers names and addresses. Additional exposure depends on each customer's letters. There's still no consolidated public count of how many of the 22 million people have actually been notified.

Übersetzung aktualisiert:

Kürzlich ausgestrahlt