Saltar al contenido
Ahora

Tecnología · Brecha de Maileva

La brecha de Maileva robó los nombres y las direcciones de 22 millones de personas. Algunas cartas expusieron más datos

La Poste confirmó el robo semanas después de que Maileva reabriera. Los avisos a los clientes muestran cómo las facturas hospitalarias y la correspondencia sobre vivienda podrían hacer más convincentes las estafas de pago.

Escrito 7 min de lectura · 48 fuentes

HeyDex

Vídeo en su idioma original

Traducido del original en inglés.

El servicio postal de Maileva llevaba más de seis semanas de nuevo en funcionamiento cuando La Poste confirmó la magnitud del robo: nombres y direcciones postales de 22 millones de personas. El cierre de septiembre había terminado. Las consecuencias para pacientes, inquilinos y otros destinatarios de cartas, no.⁠1⁠6

La Poste confirmó la cifra a AFP el 14 de noviembre de 2026, un día después de que Cyberattaque.org publicara el total. Las víctimas eran destinatarios de correspondencia enviada por clientes empresariales de Maileva, no necesariamente personas que hubieran abierto una cuenta con Maileva, o siquiera supieran que existía. Hay varios miles de organizaciones clientes afectadas.⁠10⁠6⁠1

Maileva afirma que los datos bancarios no se vieron afectados. Pero los avisos de clientes individuales muestran los límites de esa tranquilidad: algunas cartas potencialmente accesibles contenían números de factura auténticos, fechas de atención, cantidades pendientes o información sobre la vivienda. Esos detalles pueden hacer que una petición de pago fraudulenta parezca un trámite pendiente con una organización que el destinatario conoce de verdad.⁠6⁠8⁠27

22 millonesPersonas cuyos nombres y direcciones fueron robados 16
~39 millonesReferencias postales que, según se informa, figuraban en la base de datos comprometida 1

Las dos cifras miden cosas diferentes. El total de 22 millones elimina a las personas duplicadas. BigGo Finance informa de aproximadamente 39 millones de referencias postales, citando documentos internos atribuidos a Docaposte: una persona puede recibir varias cartas, incluso de distintas organizaciones. Ninguna de las dos cifras demuestra que se robara toda la correspondencia de cada destinatario.⁠1

Maileva opera dentro de Docaposte, que forma parte del grupo estatal La Poste. Imprime y envía correspondencia profesional, incluidas facturas, recordatorios de pago, nóminas y cartas certificadas. Su sitio web anuncia más de 70.000 usuarios y 20.000 clientes. Ese modelo de negocio reúne información de muchas organizaciones que, de otro modo, estarían separadas, en un único intermediario, y pone al alcance de la misma brecha a personas que nunca eligieron a ese intermediario.⁠6⁠1⁠20

Un servicio restablecido, una brecha sin resolver

Se describe que el ataque ocurrió a mediados de septiembre; no se ha establecido la fecha exacta de inicio. Lo que sí está documentado con precisión es la respuesta operativa: Maileva suspendió sus servicios el 23 de septiembre a las 7 a. m., tras detectar actividad sospechosa e intentos no autorizados de acceder a cuentas de clientes. Sus primeras comunicaciones se centraron en un atacante que intentaba enviar cartas sin permiso de los titulares de las cuentas.⁠7⁠18

Un mensaje del 24 de septiembre reproducido por eWatchers tranquilizó a un cliente al asegurarle que su cuenta no había sufrido esos intentos de acceso y que no se había detectado ningún envío de correspondencia desde su portal de cliente o su cuenta de API. Era una declaración específica sobre los intentos de uso indebido de esa cuenta, no una conclusión de que la información de toda la plataforma siguiera siendo confidencial. En ese mensaje no se anunció ningún robo a gran escala.⁠18

Un aviso de la plataforma del 28 de septiembre describió una reapertura progresiva, mientras el acceso al área de clientes y a todas sus funciones aún esperaba ser restablecido. Cyberattaque.org informa de que el servicio reanudó plenamente sus operaciones el 29 de septiembre, tras seis días. Fueron distintas etapas de recuperación, no relatos contradictorios sobre cuándo reabrió el mismo servicio.⁠18⁠10

Para el 9 de octubre, el problema de confidencialidad empezaba a estar más claro. Una organización de salud laboral de Cornouaille reveló un acceso no autorizado a una base de datos de seguimiento postal que contenía información del remitente y del destinatario, así como nombres de archivos asociados. No pudo determinar si se habían leído o extraído sus cartas completas. Incluso esa exposición más limitada importa: la identidad de un remitente médico o un nombre de archivo revelador pueden divulgar información personal sin que nadie abra el documento.⁠10

Lo que revelan los avisos a los clientes

El Hôpital Foch de Suresnes ofrece el ejemplo documentado más claro de contenidos de cartas potencialmente expuestos. El hospital utiliza Kiwee para enviar recordatorios de pago; Kiwee encarga a Maileva imprimirlos y enviarlos por correo. Foch supo el 28 de octubre que se podrían haber consultado algunos contenidos de los recordatorios, según su aviso del 6 de noviembre.⁠8

El aviso identifica los recordatorios recibidos entre el 9 y el 23 de septiembre de 2026. Además de nombres y direcciones, contienen números de factura, fechas de atención y cantidades pendientes. No describen el tratamiento ni contienen datos bancarios de los pacientes. Sin embargo, revelan que una persona identificada por su nombre recibió atención en Foch, una relación que el hospital reconoce expresamente como información sensible.⁠8

Foch afirmó que no se había modificado ni eliminado ningún dato cuando publicó su aviso. Informó a la autoridad francesa de protección de datos, la CNIL, solicitó detalles a Kiwee y Maileva, y alertó a los equipos de recepción y facturación. Su aviso indica que Maileva corrigió la vulnerabilidad y reforzó la seguridad. Estas medidas abordan el sistema; no demuestran que se hayan recuperado las copias de la información consultada.⁠8

Inovie también ha comunicado una pérdida de confidencialidad que afecta a algunos pacientes de varios laboratorios. Su aviso identifica nombres, apellidos y direcciones postales, y excluye datos de pago y contraseñas. Es importante destacar que afirma que aún no se había determinado la lista de posibles afectados, no que necesariamente fuera imposible identificarlos. La publicación de avisos en los sitios web de varios laboratorios no significa que todos los laboratorios o todos los pacientes se hayan visto afectados.⁠35⁠10

En el caso de los inquilinos, la posible exposición puede remontarse mucho más atrás. El aviso del 3 de noviembre de Flandre Opale Habitat indica que la información incluida en correspondencia enviada durante los diez años anteriores podría haber sido accesible. Según la carta, puede incluir datos de contacto, números de cliente, información sobre la vivienda e información administrativa o financiera, como importes de facturas. No ha facilitado el número de inquilinos afectados y advierte que el aviso no significa que necesariamente se haya consultado o utilizado la información de un inquilino en particular.⁠27⁠1

Altéal y Erilia identifican nombres, género y direcciones postales potencialmente expuestos. Ambas advierten que los nombres de archivo podrían revelar circunstancias personales o trámites administrativos, haciendo más convincente un mensaje fraudulento. Erilia aún estaba comprobando si se había podido ver otra información de los expedientes; en ese momento nada indicaba que se hubieran expuesto datos bancarios, contraseñas o documentos de identidad. Ambas dejaron constancia de haber cumplido sus trámites ante la CNIL.⁠16⁠15

La red de transporte IZILO, que presta servicio en Lorient, es otro cliente afectado. La exposición que ha comunicado incluye tratamientos, nombres, direcciones postales y nombres de archivo asociados, pero no datos bancarios. En conjunto, estos avisos muestran por qué la lista nacional de campos confirmados como robados no puede describir por completo el riesgo de cada destinatario. La exposición adicional depende de lo que cada organización incluyera en su correspondencia.⁠10

Una factura correcta demuestra muy poco

El peligro inmediato es la suplantación mediante información auténtica. Un recordatorio falso puede citar un número de factura, una fecha de atención o una cantidad pendiente reales y, después, sustituir las instrucciones de pago por las de un delincuente. Foch advierte que los estafadores podrían hacerse pasar por el hospital, Kiwee, el sistema de seguro médico o una mutua por correo electrónico, mensaje de texto, teléfono o correo postal. La correspondencia en papel no es intrínsecamente fiable solo porque el servicio original enviara cartas.⁠8

Hay límites importantes en lo que se sabe. Flandre Opale Habitat, Altéal y Erilia no tenían constancia de usos fraudulentos cuando emitieron sus advertencias. No se ha establecido que los archivos robados se hayan divulgado públicamente o puesto a la venta. Estos son límites de las pruebas, no garantías de que no pueda producirse un uso indebido.⁠27⁠16⁠15⁠1

La regla práctica es verificar cualquier petición inesperada mediante datos de contacto obtenidos de forma independiente, no a través del número o el enlace incluidos en el mensaje. Foch y Kiwee afirman que no pedirán contraseñas, códigos de seguridad ni datos bancarios por correo electrónico, mensaje de texto o teléfono. Si se ha revelado una contraseña, cámbiela; si se ha pagado dinero a un estafador, contacte de inmediato con el banco y presente una denuncia.⁠8

Esto no significa que haya que dejar sin pagar las facturas legítimas. Foch sigue aceptando pagos a través de su servicio oficial en línea, en la recepción del hospital o mediante un cheque a nombre de la asociación Hôpital Foch. También es posible hacer transferencias bancarias tras obtener directamente los datos de la cuenta del hospital a través de su servicio de cobros. La comprobación esencial es quién facilitó las instrucciones de pago, no si la petición contiene información reconocible.⁠8

Maileva ha notificado a la CNIL y ha presentado una denuncia; hay una investigación judicial en curso. La Poste afirma que se ha informado a todas las empresas afectadas. Estas medidas no determinan la responsabilidad regulatoria, no identifican al atacante ni establecen el alcance total del acceso a los documentos.⁠4

Tampoco informar a las empresas demuestra que se haya contactado con las 22 millones de personas. La comunicación a los destinatarios corresponde a las organizaciones cuya correspondencia recibieron: un hospital o laboratorio, un propietario, una empresa de transporte. Aún no existe un recuento público consolidado de las personas notificadas. Esa es la parte pendiente de esta brecha: no si Maileva puede volver a enviar cartas, sino si los destinatarios saben lo suficiente sobre su propia exposición como para reconocer un engaño convincente.⁠1

Fuentes37

De las fuentes citadas aquí, Cyberattaque.org publicó primero, 4 días antes de que se emitiera esta noticia. Le siguieron 16 medios más.
  1. Cyberattaque.org
  2. Nity Pro
  3. Cyberiack
  4. Linternaute.com
  5. Economie Matin
  6. Google News France (FR:fr)
  7. Google News France (FR:fr)
  8. Google News France (FR:fr)
  9. +9 medios más
  10. HeyDay News

13 artículos anteriores consultados como contexto.12 medios sin fecha:Maileva - Plateforme de confiance numérique pour entreprisesInYourGeekAltéalAnas Sahelerilia.frFlandre Opale Habitat

Todas las fuentes, por medio

48 fuentes de 37 medios· Los más citados primero

Tal como se emitió
  1. Hackers stole names and postal addresses belonging to 22 million people. The victims received letters from businesses using Maileva, including healthcare and housing organizations. Some customer records could give fraudsters real billing details to make a false payment demand convincing.
  2. How much additional information did those letters expose, and how many recipients have been told their data was stolen?
  3. Maileva prints and posts correspondence for companies and public organizations. It operates within Docaposte, part of the state-owned La Poste group. A patient or tenant may never have known that this intermediary handled their letters.
  4. Its work includes invoices, payment reminders, payslips, administrative letters, meeting notices and registered mail. Maileva advertises more than 70,000 users and 20,000 clients. It processed a reported 180 million documents in 2024. Several thousand business customers are affected by this breach.
  5. La Poste's 22 million total removes duplicate individuals. The compromised database reportedly held approximately 39 million mail references. One person can receive several letters, including letters from different organizations using the same provider.
  6. La Poste confirmed the scale on November 14, 2026. The figure had become public the previous day. The service itself had already reopened in September, more than six weeks before that confirmation.
  7. The confirmed stolen fields are first names, surnames and postal addresses. Maileva says bank details weren't affected. Individual customers describe potentially accessible correspondence containing more personal information, including invoice details and the fact that someone received hospital care.
  8. Maileva stopped services on September 23 after suspicious activity and attempts to enter customer accounts without permission. Its early warning focused on an attacker trying to send letters through other people's accounts. The company blocked accounts and halted operations as a precaution.
  9. The suspension began at seven in the morning on September 23. A September 28 message described progressive reopening. Full operations resumed September 29, after six days. La Poste confirmed the 22 million-person scale on November 14.
  10. A September 24 message reassured one customer that its account hadn't suffered those access attempts or sent unauthorized letters. That reassurance concerned that customer's account and attempted misuse. Maileva hadn't announced the large-scale theft then. September 23 marks the shutdown; the attack was described as happening in mid-September.
  11. An occupational-health organization in Cornouaille disclosed access to a mail-tracking database on October 9. Potentially accessible information included sender and recipient identities, postal and email addresses, sender identifiers and filenames associated with letters.
  12. The organization couldn't tell whether anyone had read or extracted its full letters. But a filename or a medical sender's identity can itself reveal something personal. Restoring the ability to send mail hadn't resolved the consequences for information already accessed.
  13. Subscribe to this channel to follow which recipients are notified and what their organizations disclose next.
  14. Hôpital Foch's payment reminders show how personal information passes through several companies. The hospital uses Kiwee to send reminders. Kiwee then asks Maileva to print and post them, placing patients' correspondence inside the breached service.
  15. The hospital learned on October 28 that some reminder contents might have been read. Its November 6 notice identifies reminders received between September 9 and September 23. Alongside names and addresses, those letters contain invoice numbers, dates of care and amounts due.
  16. Foch says the letters don't describe the treatment or contain bank details. They do identify someone as having received care at the hospital. That relationship is sensitive information, even when the letter doesn't reveal a diagnosis.
  17. Foch said no data had been changed or deleted when it issued its notice. It notified France's data-protection regulator, the CNIL, requested details from Kiwee and Maileva, and alerted reception and billing staff. Its notice says Maileva corrected the vulnerability and strengthened security.
  18. Kiwee confirms correspondence for certain healthcare clients was involved. Inovie also says some patients at several laboratories lost confidentiality of their names and postal addresses. Its notice excludes payment data and passwords, and says it hadn't yet identified the potentially affected patients.
  19. Notifications appeared across AXBIO, BioMedilab, Biofusion, CBM, Gen-Bio, Biopyrénées and Labosud. A Novabio communication was reported on November 2. The notices concern some patients; each laboratory's own notification defines its scope. The exposed information passed through the mailing provider.
  20. Flandre Opale Habitat warns that correspondence spanning ten years could have been accessible. Its November 3 notice covers possible exposure of contact details, customer numbers, housing information and administrative or financial information, including invoice amounts.
  21. The provider manages approximately 20,000 homes across 259 communes in Hauts-de-France. It hasn't given an affected-tenant count. It cautions that a tenant's information wasn't necessarily read or used. Tenant-election documents were handled by Paragon and are excluded from this incident.
  22. Altéal and Erilia identify potentially exposed names, gender and postal addresses. Both warn that filenames could disclose someone's circumstances or administrative dealings. A scammer could use that context to make a message about a person's housing file more believable.
  23. Altéal manages more than 14,000 homes in Occitanie; its notification was reported November 9. Erilia was still checking whether other dossier information had been visible. It said nothing then indicated exposure of bank data, passwords or identity documents. Both made their own CNIL filings.
  24. The IZILO transport network in Lorient is also affected. Its exposed information includes forms of address, names, postal addresses and associated filenames. IZILO says bank details weren't involved. Healthcare, housing and transport customers share the consequences of one intermediary's breach.
  25. Flandre Opale Habitat, Altéal and Erilia reported no known fraudulent use when they issued their warnings. Public release or sale of the stolen files hasn't been confirmed. The immediate risk is impersonation using authentic information that a recipient recognizes.
  26. A false reminder can quote a genuine invoice number, care date or amount due, then direct payment to a criminal. Foch warns that scammers could impersonate the hospital, Kiwee, the health-insurance system or a mutual insurer through email, text, telephone or paper mail.
  27. Verify an unexpected demand through contact details you've obtained separately. Don't use the number or link supplied in that message. The correct name, tenancy reference or invoice amount doesn't prove that the person asking for money is entitled to receive it.
  28. Foch and Kiwee say they won't ask for a password, security code or bank details by email, text or telephone. If you've given a scammer a password, change it. If you've paid a fraudster, contact your bank immediately and file a complaint.
  29. Foch still accepts legitimate payments through its official online payment service, hospital reception, or a cheque payable to association Hôpital Foch. Bank transfers are also possible after obtaining the hospital's bank-account details directly from its collections service. Verify substituted payment instructions before sending money.
  30. Maileva has notified the CNIL and filed a complaint. A judicial investigation is underway. La Poste says all affected businesses have been informed. Those organizations must assess their notification obligations and communicate with the people whose information they handle.
  31. A patient may hear from a hospital or laboratory, a tenant from a landlord, and a passenger from a transport operator. The confirmed nationwide theft covers names and addresses. Additional exposure depends on each customer's letters. There's still no consolidated public count of how many of the 22 million people have actually been notified.

Traducción actualizada el

Emitido recientemente