Aller au contenu
Maintenant

Technologie · Fuite chez Maileva

La fuite chez Maileva a dérobé les noms et adresses de 22 millions de personnes. Certaines lettres en ont révélé davantage

La Poste a confirmé le vol plusieurs semaines après la réouverture de Maileva. Les avis aux clients montrent comment des factures hospitalières et des courriers relatifs au logement pourraient rendre des arnaques au paiement plus convaincantes.

Rédigé 8 min de lecture · 48 sources

HeyDex

Vidéo en langue originale

Traduit de l’original anglais.

Le service de courrier de Maileva fonctionnait de nouveau depuis plus de six semaines lorsque La Poste a confirmé l’ampleur du vol : les noms et adresses postales de 22 millions de personnes. L’interruption de septembre était terminée. Pas les conséquences pour les patients, les locataires et les autres destinataires de courrier.⁠1⁠6

La Poste a confirmé ce chiffre à l’AFP le 14 novembre 2026, au lendemain de la publication du total par Cyberattaque.org. Les victimes étaient les destinataires de courriers envoyés par les clients professionnels de Maileva — pas nécessairement des personnes ayant ouvert un compte auprès de Maileva, ni même sachant que l’entreprise existait. Plusieurs milliers d’organisations clientes sont concernées.⁠10⁠6⁠1

Maileva affirme que les coordonnées bancaires n’ont pas été touchées. Mais les avis de clients particuliers montrent les limites de cette assurance : certains courriers potentiellement accessibles contenaient de véritables numéros de facture, des dates de soins, des montants dus ou des informations sur le logement. Ces détails peuvent faire passer une demande de paiement frauduleuse pour une affaire en suspens auprès d’une organisation que le destinataire connaît réellement.⁠6⁠8⁠27

22 millionsPersonnes dont les noms et adresses ont été volés 16
~39 millionsRéférences de courriers qui figureraient dans la base de données compromise 1

Les deux chiffres ne mesurent pas la même chose. Le total de 22 millions élimine les doublons de personnes. BigGo Finance fait état d’environ 39 millions de références de courrier, en citant des documents internes attribués à Docaposte : une personne peut recevoir plusieurs lettres, y compris de différentes organisations. Aucun de ces chiffres ne permet d’établir que l’intégralité de la correspondance de chaque destinataire a été volée.⁠1

Maileva exerce ses activités au sein de Docaposte, qui fait partie du groupe public La Poste. L’entreprise imprime et poste des courriers professionnels, notamment des factures, des rappels de paiement, des bulletins de paie et des lettres recommandées. Son site internet annonce plus de 70,000 utilisateurs et 20,000 clients. Ce modèle commercial rassemble au sein d’un même intermédiaire des informations provenant de nombreuses organisations autrement indépendantes — et expose à la même fuite des personnes qui n’ont jamais choisi cet intermédiaire.⁠6⁠1⁠20

Un service rétabli, une fuite non résolue

L’attaque est décrite comme ayant eu lieu à la mi-septembre ; sa date de début exacte n’a pas été établie. La réponse opérationnelle, en revanche, est précisément documentée : Maileva a suspendu ses services le 23 septembre à 7 h, après avoir détecté une activité suspecte et des tentatives non autorisées d’accès aux comptes clients. Les premières communications de l’entreprise portaient principalement sur un attaquant qui tentait d’envoyer des lettres sans l’autorisation des titulaires de compte.⁠7⁠18

Un message du 24 septembre reproduit par eWatchers a rassuré un client en indiquant que son compte n’avait pas fait l’objet de ces tentatives d’accès et qu’aucun courrier sortant n’avait été détecté depuis son portail client ou son compte API. Il s’agissait d’une déclaration concernant ce compte et des tentatives d’utilisation abusive — et non d’une conclusion selon laquelle les informations de l’ensemble de la plateforme étaient restées confidentielles. Aucun vol massif n’était annoncé dans ce message.⁠18

Un avis publié sur la plateforme le 28 septembre évoquait une réouverture progressive ; l’accès à l’espace client et à toutes ses fonctionnalités devait encore être rétabli. Cyberattaque.org rapporte que les activités ont pleinement repris le 29 septembre, après six jours. Il s’agissait de différentes étapes du rétablissement, et non de récits contradictoires sur la date de réouverture d’un même service.⁠18⁠10

Le 9 octobre, le problème de confidentialité apparaissait plus clairement. Un organisme de santé au travail de Cornouaille a révélé un accès non autorisé à une base de données de suivi du courrier contenant des informations sur les expéditeurs et les destinataires, ainsi que les noms des fichiers associés. Il n’a pas pu déterminer si l’intégralité de ses courriers avait été lue ou extraite. Même cette exposition plus limitée est importante : l’identité d’un expéditeur médical ou un nom de fichier révélateur peut dévoiler des informations personnelles sans que quiconque ouvre le document.⁠10

Ce que révèlent les avis aux clients

L’hôpital Foch, à Suresnes, fournit l’exemple documenté le plus clair de contenus de courriers potentiellement exposés. L’hôpital utilise Kiwee pour envoyer des rappels de paiement ; Kiwee fait imprimer et poster ces courriers par Maileva. Foch a appris le 28 octobre que le contenu de certains rappels avait peut-être été consulté, selon son avis du 6 novembre.⁠8

L’avis concerne les rappels reçus entre le 9 septembre et le 23 septembre 2026. Outre les noms et les adresses, ils contiennent des numéros de facture, des dates de soins et des montants dus. Ils ne décrivent pas les traitements et ne contiennent pas les coordonnées bancaires des patients. Ils révèlent toutefois qu’une personne nommément désignée a reçu des soins à Foch — un lien que l’hôpital reconnaît explicitement comme une information sensible.⁠8

Foch a indiqué qu’aucune donnée n’avait été modifiée ni supprimée au moment de la publication de son avis. L’établissement a informé l’autorité française de protection des données, la CNIL, demandé des précisions à Kiwee et à Maileva, et alerté les équipes d’accueil et de facturation. Son avis indique que Maileva a corrigé la vulnérabilité et renforcé la sécurité. Ces mesures concernent le système ; elles ne permettent pas d’établir que les copies des informations consultées ont été récupérées.⁠8

Inovie a également révélé une atteinte à la confidentialité concernant certains patients de plusieurs laboratoires. Son avis mentionne les prénoms, les noms et les adresses postales, mais exclut les données de paiement et les mots de passe. Point crucial : l’entreprise indique que la liste des personnes potentiellement concernées n’avait pas encore été établie — et non qu’il serait nécessairement impossible de les identifier. La publication d’avis sur les sites de plusieurs laboratoires ne signifie pas que tous les laboratoires ou tous les patients ont été concernés.⁠35⁠10

Pour les locataires, l’exposition potentielle peut remonter bien plus loin. L’avis de Flandre Opale Habitat du 3 novembre indique que des informations figurant dans des courriers envoyés au cours des dix années précédentes auraient pu être accessibles. Selon le courrier, cela comprend les coordonnées, les numéros de client, des informations sur le logement et des informations administratives ou financières, comme les montants des factures. L’organisme n’a pas fourni de nombre de locataires concernés et précise que cet avertissement ne signifie pas que les informations d’un locataire en particulier ont nécessairement été consultées ou utilisées.⁠27⁠1

Altéal et Erilia mentionnent les noms, le sexe et les adresses postales potentiellement exposés. Les deux organismes avertissent que les noms de fichiers pourraient révéler des situations personnelles ou des démarches administratives, rendant un message frauduleux plus convaincant. Erilia vérifiait encore si d’autres informations de dossier avaient été visibles ; rien n’indiquait alors une exposition de données bancaires, de mots de passe ou de pièces d’identité. Les deux organismes ont effectué leurs propres démarches auprès de la CNIL.⁠16⁠15

Le réseau de transports IZILO, qui dessert Lorient, est un autre client concerné. Les données exposées qu’il a signalées comprennent les civilités, les noms, les adresses postales et les noms des fichiers associés, mais pas les coordonnées bancaires. Pris ensemble, ces avis montrent pourquoi la liste nationale des données dont le vol a été confirmé ne suffit pas à décrire pleinement les risques encourus par chaque destinataire. L’exposition supplémentaire dépend de ce que chaque organisation a inclus dans son courrier.⁠10

Une facture exacte ne prouve pas grand-chose

Le danger immédiat est l’usurpation d’identité au moyen d’informations authentiques. Un faux rappel peut citer un véritable numéro de facture, une date de soins ou un montant dû, puis remplacer les instructions de paiement par celles d’un criminel. Foch avertit que des fraudeurs pourraient se faire passer pour l’hôpital, Kiwee, l’Assurance maladie ou une mutuelle par courriel, SMS, téléphone ou courrier papier. Un courrier papier n’est pas intrinsèquement digne de confiance simplement parce que le service d’origine envoyait des lettres.⁠8

Les informations connues comportent d’importantes limites. Flandre Opale Habitat, Altéal et Erilia n’avaient connaissance d’aucune utilisation frauduleuse au moment de publier leurs avertissements. La publication ou la vente des fichiers volés n’a pas été établie. Il s’agit de limites des éléments disponibles, et non de garanties qu’aucune utilisation abusive ne puisse avoir lieu.⁠27⁠16⁠15⁠1

La règle pratique consiste à vérifier toute demande inattendue en utilisant des coordonnées obtenues indépendamment, et non le numéro ou le lien fourni dans le message. Foch et Kiwee indiquent qu’ils ne demanderont pas de mots de passe, de codes de sécurité ou de coordonnées bancaires par courriel, SMS ou téléphone. Si un mot de passe a été divulgué, changez-le ; si de l’argent a été versé à un fraudeur, contactez immédiatement la banque et déposez plainte.⁠8

Cela ne signifie pas qu’il faut cesser de payer les factures légitimes. Foch accepte toujours les paiements par son service officiel en ligne, à l’accueil de l’hôpital ou par chèque à l’ordre de l’association Hôpital Foch. Les virements bancaires sont possibles après avoir obtenu les coordonnées bancaires de l’hôpital directement auprès de son service de recouvrement. L’essentiel est de vérifier qui a fourni les instructions de paiement — et non si la demande contient des informations reconnaissables.⁠8

Maileva a informé la CNIL et déposé plainte, et une enquête judiciaire est en cours. La Poste affirme que toutes les entreprises concernées ont été informées. Ces démarches n’établissent pas une responsabilité réglementaire, n’identifient pas l’attaquant et ne déterminent pas l’étendue totale de l’accès aux documents.⁠4

Informer les entreprises ne permet pas non plus d’établir que les 22 millions de personnes ont toutes été prévenues. Il revient aux organisations dont elles ont reçu le courrier de les informer : un hôpital ou un laboratoire, un bailleur, un opérateur de transport. Il n’existe toujours pas de décompte public consolidé des personnes informées. C’est ce qui reste à faire après cette fuite : il ne s’agit pas de savoir si Maileva peut à nouveau envoyer des lettres, mais si les destinataires en savent assez sur leur propre exposition pour reconnaître un faux convaincant.⁠1

Sources37

Parmi les sources citées ici, Cyberattaque.org a publié en premier, 4 jours avant la diffusion de ce reportage. 16 autres médias ont suivi.
  1. Cyberattaque.org
  2. Nity Pro
  3. Cyberiack
  4. Linternaute.com
  5. Economie Matin
  6. Google News France (FR:fr)
  7. Google News France (FR:fr)
  8. Google News France (FR:fr)
  9. +9 autres médias
  10. HeyDay News

13 articles plus anciens consultés pour le contexte.12 médias sans date :Maileva - Plateforme de confiance numérique pour entreprisesInYourGeekAltéalAnas Sahelerilia.frFlandre Opale Habitat

Toutes les sources, par média

48 sources de 37 médias· Les plus cités d’abord

Tel que diffusé
  1. Hackers stole names and postal addresses belonging to 22 million people. The victims received letters from businesses using Maileva, including healthcare and housing organizations. Some customer records could give fraudsters real billing details to make a false payment demand convincing.
  2. How much additional information did those letters expose, and how many recipients have been told their data was stolen?
  3. Maileva prints and posts correspondence for companies and public organizations. It operates within Docaposte, part of the state-owned La Poste group. A patient or tenant may never have known that this intermediary handled their letters.
  4. Its work includes invoices, payment reminders, payslips, administrative letters, meeting notices and registered mail. Maileva advertises more than 70,000 users and 20,000 clients. It processed a reported 180 million documents in 2024. Several thousand business customers are affected by this breach.
  5. La Poste's 22 million total removes duplicate individuals. The compromised database reportedly held approximately 39 million mail references. One person can receive several letters, including letters from different organizations using the same provider.
  6. La Poste confirmed the scale on November 14, 2026. The figure had become public the previous day. The service itself had already reopened in September, more than six weeks before that confirmation.
  7. The confirmed stolen fields are first names, surnames and postal addresses. Maileva says bank details weren't affected. Individual customers describe potentially accessible correspondence containing more personal information, including invoice details and the fact that someone received hospital care.
  8. Maileva stopped services on September 23 after suspicious activity and attempts to enter customer accounts without permission. Its early warning focused on an attacker trying to send letters through other people's accounts. The company blocked accounts and halted operations as a precaution.
  9. The suspension began at seven in the morning on September 23. A September 28 message described progressive reopening. Full operations resumed September 29, after six days. La Poste confirmed the 22 million-person scale on November 14.
  10. A September 24 message reassured one customer that its account hadn't suffered those access attempts or sent unauthorized letters. That reassurance concerned that customer's account and attempted misuse. Maileva hadn't announced the large-scale theft then. September 23 marks the shutdown; the attack was described as happening in mid-September.
  11. An occupational-health organization in Cornouaille disclosed access to a mail-tracking database on October 9. Potentially accessible information included sender and recipient identities, postal and email addresses, sender identifiers and filenames associated with letters.
  12. The organization couldn't tell whether anyone had read or extracted its full letters. But a filename or a medical sender's identity can itself reveal something personal. Restoring the ability to send mail hadn't resolved the consequences for information already accessed.
  13. Subscribe to this channel to follow which recipients are notified and what their organizations disclose next.
  14. Hôpital Foch's payment reminders show how personal information passes through several companies. The hospital uses Kiwee to send reminders. Kiwee then asks Maileva to print and post them, placing patients' correspondence inside the breached service.
  15. The hospital learned on October 28 that some reminder contents might have been read. Its November 6 notice identifies reminders received between September 9 and September 23. Alongside names and addresses, those letters contain invoice numbers, dates of care and amounts due.
  16. Foch says the letters don't describe the treatment or contain bank details. They do identify someone as having received care at the hospital. That relationship is sensitive information, even when the letter doesn't reveal a diagnosis.
  17. Foch said no data had been changed or deleted when it issued its notice. It notified France's data-protection regulator, the CNIL, requested details from Kiwee and Maileva, and alerted reception and billing staff. Its notice says Maileva corrected the vulnerability and strengthened security.
  18. Kiwee confirms correspondence for certain healthcare clients was involved. Inovie also says some patients at several laboratories lost confidentiality of their names and postal addresses. Its notice excludes payment data and passwords, and says it hadn't yet identified the potentially affected patients.
  19. Notifications appeared across AXBIO, BioMedilab, Biofusion, CBM, Gen-Bio, Biopyrénées and Labosud. A Novabio communication was reported on November 2. The notices concern some patients; each laboratory's own notification defines its scope. The exposed information passed through the mailing provider.
  20. Flandre Opale Habitat warns that correspondence spanning ten years could have been accessible. Its November 3 notice covers possible exposure of contact details, customer numbers, housing information and administrative or financial information, including invoice amounts.
  21. The provider manages approximately 20,000 homes across 259 communes in Hauts-de-France. It hasn't given an affected-tenant count. It cautions that a tenant's information wasn't necessarily read or used. Tenant-election documents were handled by Paragon and are excluded from this incident.
  22. Altéal and Erilia identify potentially exposed names, gender and postal addresses. Both warn that filenames could disclose someone's circumstances or administrative dealings. A scammer could use that context to make a message about a person's housing file more believable.
  23. Altéal manages more than 14,000 homes in Occitanie; its notification was reported November 9. Erilia was still checking whether other dossier information had been visible. It said nothing then indicated exposure of bank data, passwords or identity documents. Both made their own CNIL filings.
  24. The IZILO transport network in Lorient is also affected. Its exposed information includes forms of address, names, postal addresses and associated filenames. IZILO says bank details weren't involved. Healthcare, housing and transport customers share the consequences of one intermediary's breach.
  25. Flandre Opale Habitat, Altéal and Erilia reported no known fraudulent use when they issued their warnings. Public release or sale of the stolen files hasn't been confirmed. The immediate risk is impersonation using authentic information that a recipient recognizes.
  26. A false reminder can quote a genuine invoice number, care date or amount due, then direct payment to a criminal. Foch warns that scammers could impersonate the hospital, Kiwee, the health-insurance system or a mutual insurer through email, text, telephone or paper mail.
  27. Verify an unexpected demand through contact details you've obtained separately. Don't use the number or link supplied in that message. The correct name, tenancy reference or invoice amount doesn't prove that the person asking for money is entitled to receive it.
  28. Foch and Kiwee say they won't ask for a password, security code or bank details by email, text or telephone. If you've given a scammer a password, change it. If you've paid a fraudster, contact your bank immediately and file a complaint.
  29. Foch still accepts legitimate payments through its official online payment service, hospital reception, or a cheque payable to association Hôpital Foch. Bank transfers are also possible after obtaining the hospital's bank-account details directly from its collections service. Verify substituted payment instructions before sending money.
  30. Maileva has notified the CNIL and filed a complaint. A judicial investigation is underway. La Poste says all affected businesses have been informed. Those organizations must assess their notification obligations and communicate with the people whose information they handle.
  31. A patient may hear from a hospital or laboratory, a tenant from a landlord, and a passenger from a transport operator. The confirmed nationwide theft covers names and addresses. Additional exposure depends on each customer's letters. There's still no consolidated public count of how many of the 22 million people have actually been notified.

Traduction mise à jour le

Diffusés récemment