Mailevaへの攻撃で2,200万人分の氏名と住所が盗まれる。一部の手紙から、さらに多くの情報が流出

La Posteは2026年11月14日、Cyberattaque.orgが総数を公表した翌日に、AFPにこの数字を認めた。被害に遭ったのは、Mailevaの法人顧客が送った郵便物の受取人であり、必ずしもMailevaのアカウントを開設した人や、Mailevaの存在を知っていた人とは限らない。数千の顧客組織が影響を受けている。⁠10⁠6⁠1

Mailevaは銀行情報への影響はなかったとしている。しかし、個々の顧客の通知からは、この説明に限界がある理由がわかる。閲覧可能だった可能性のある郵便物の中には、本物の請求書番号、受診日、未払い額、住宅情報が記載されていたものがある。こうした情報があれば、受取人が実際に知っている組織との未処理の用件に見せかけた、詐欺的な支払い請求を信じさせやすくなる。⁠6⁠8⁠27

この2つの数字は異なるものを数えている。2,200万人という総数は重複する個人を除いたものだ。BigGo Financeは、Docaposteの内部文書とされる資料を引用し、郵便物の参照件数は約3,900万件に上ると報じている。1人が異なる組織から複数の手紙を受け取ることがあるためだ。どちらの数字も、すべての受取人の郵便物全体が盗まれたことを示すものではない。⁠1

Mailevaは、国有のLa Posteグループ傘下のDocaposteに属している。同社は、請求書、支払い督促、給与明細、書留郵便など、企業・団体向けの郵便物を印刷・発送している。ウェブサイトによると、利用者は7万人超、顧客は2万社に上る。この事業モデルでは、本来は別々の組織が保有する情報が一つの仲介事業者に集まる。その結果、その仲介事業者を自分で選んだことのない人々も、同じ情報流出の被害に遭う可能性が生じる。⁠6⁠1⁠20

攻撃は9月中旬に発生したとされるが、正確な開始日は確定していない。運用面での対応は正確に記録されている。Mailevaは、不審な活動と顧客アカウントへの不正侵入の試みを受け、9月23日午前7時にサービスを停止した。当初の発表は、アカウント所有者の許可なく手紙を送ろうとした攻撃者に焦点を当てていた。⁠7⁠18

eWatchersが転載した9月24日のメッセージは、ある顧客に対し、そのアカウントではそうしたアクセスの試みは確認されず、顧客ポータルまたはAPIアカウントからの送信メールも検出されていないと伝えていた。これはアカウント単位の不正利用の試みに関する説明であり、プラットフォーム全体の情報が機密に保たれていたという調査結果ではない。このメッセージでは、大規模な窃取は発表されていなかった。⁠18

9月28日のプラットフォーム通知は、段階的な再開について説明しており、顧客エリアとすべての機能へのアクセスはまだ復旧を待っていた。Cyberattaque.orgによると、全面的な運用は6日後の9月29日に再開した。これは復旧の段階を示すもので、同じサービスの再開時期について互いに食い違う説明をしているわけではない。⁠18⁠10

10月9日までに、情報の機密性をめぐる問題はより明らかになっていた。コルヌアイユの産業保健機関は、差出人と受取人の情報、および関連するファイル名を含む郵便追跡データベースに、権限のないアクセスがあったと公表した。手紙全文が閲覧または抽出されたかどうかは確認できなかった。より限定的な情報流出であっても問題はある。医療機関である差出人の身元や、内容を示すファイル名は、文書を誰も開かなくても個人情報を明らかにする可能性がある。⁠10

シュレーヌのフォッシュ病院は、手紙の内容が流出した可能性を示す、最も明確に記録された事例を提供している。同病院はキウィーを使って支払いの督促を送り、キウィーはMailevaに印刷と郵送を委託している。病院の11月6日の通知によると、フォッシュ病院は10月28日、一部の督促状の内容が閲覧された可能性があると知った。⁠8

通知の対象は、2026年9月9日から9月23日までに受け取られた督促状だ。氏名と住所に加え、請求書番号、受診日、未払い額が記載されている。治療内容や患者の銀行口座情報は含まれていない。しかし、特定の人物がフォッシュ病院で診療を受けたことは明らかになる。病院は、この関係性自体が機密情報だと明確に認めている。⁠8

フォッシュ病院は通知を出した時点で、データの改ざんや削除はなかったと述べた。フランスのデータ保護監督機関CNILに報告し、キウィーとMailevaに詳細を求め、受付と会計の各チームに注意を促した。通知によると、Mailevaは脆弱性を修正し、セキュリティを強化した。これらの対策はシステムへの対応であり、アクセスされた情報のコピーが回収されたことを示すものではない。⁠8

Inovieも、複数の検査施設の一部の患者に影響する機密性の喪失を公表した。同社の通知では、氏名と郵便住所が対象として挙げられ、支払い情報とパスワードは含まれないとしている。重要なのは、影響を受けた可能性のある人のリストはまだ確定していないと述べている点だ。身元の特定が必ずしも不可能だと言っているわけではない。複数の検査施設のウェブサイトに通知が掲載されたからといって、すべての施設や患者が影響を受けたということではない。⁠35⁠10

住宅の入居者の場合、情報流出の可能性はさらに過去にさかのぼることがある。Flandre Opale Habitatの11月3日の通知によると、過去10年間に送られた郵便物の情報が閲覧可能だった可能性がある。手紙によって、連絡先、顧客番号、住宅情報、請求額などの事務・財務情報が含まれる。影響を受けた入居者の人数は公表しておらず、この警告は特定の入居者の情報が実際に閲覧または利用されたことを意味するわけではないと注意を促している。⁠27⁠1

AltéalとEriliaは、流出した可能性のある情報として、氏名、性別、郵便住所を挙げている。いずれも、ファイル名から個人的な事情や行政機関とのやり取りが明らかになり、詐欺メッセージをより信じやすくする可能性があると警告している。Eriliaは、顧客記録に含まれるその他の情報が閲覧可能だったかどうかを引き続き確認していた。その時点では、銀行情報、パスワード、身分証明書が流出したことを示すものはなかった。両社とも、それぞれCNILへの届出手続きを行った。⁠16⁠15

ロリアンを中心とする公共交通網IZILOも、影響を受けた顧客の一つだ。公表された流出情報には、敬称、氏名、郵便住所、関連するファイル名が含まれるが、銀行情報は含まれない。これらの通知を総合すると、全国で確認された盗難項目の一覧だけでは、受取人一人ひとりのリスクを完全には説明できないことがわかる。追加で流出する情報は、各組織が郵便物に何を記載したかによって異なる。⁠10

差し迫った危険は、本物の情報を使ったなりすましだ。偽の督促状に本物の請求書番号、受診日、未払い額を記載し、犯罪者の口座情報に差し替えて支払いを求める可能性がある。フォッシュ病院は、詐欺犯がメール、テキストメッセージ、電話、紙の郵便を通じて、病院、キウィー、健康保険制度、相互扶助保険会社になりすます可能性があると警告している。元のサービスが手紙を届けていたからといって、紙の郵便が自動的に信頼できるわけではない。⁠8

何がわかっているかには重要な限界がある。Flandre Opale Habitat、Altéal、Eriliaは、警告を出した時点で、詐欺目的で利用された事例は把握していないと報告した。盗まれたファイルが公開または売却されたことも確認されていない。これらは証拠の限界であり、情報が悪用されないという保証ではない。⁠27⁠16⁠15⁠1

実際的な対策は、予期しない支払い請求が届いたら、メッセージに記載された電話番号やリンクではなく、独自に入手した連絡先を通じて確認することだ。フォッシュ病院とキウィーは、メール、テキストメッセージ、電話でパスワード、セキュリティコード、銀行情報を尋ねることはないとしている。パスワードを伝えてしまった場合は変更し、詐欺犯に送金した場合は直ちに銀行に連絡して被害を届け出る。⁠8

正当な請求を支払わなくてよいという意味ではない。フォッシュ病院は引き続き、公式オンラインサービス、病院の受付、または「association Hôpital Foch」宛ての小切手で支払いを受け付けている。病院の徴収窓口から口座情報を直接入手した後であれば、銀行振込も可能だ。肝心なのは、請求に見覚えのある情報が含まれているかどうかではなく、誰が支払い方法を伝えたかを確認することだ。⁠8

MailevaはCNILに報告し、告訴状を提出した。司法捜査が進行中だ。La Posteによると、影響を受けたすべての企業に通知したという。こうした対応によって、規制上の責任が確定したり、攻撃者が特定されたり、文書へのアクセスの全容が解明されたりしたわけではない。⁠4

企業への通知は、2,200万人全員に連絡が届いたことを意味しない。受取人への連絡は、郵便物を受け取った組織、つまり病院や検査施設、家主、交通事業者が担う。通知を受け取った人の統合された公表人数は、いまだに明らかになっていない。この情報流出で未解決のまま残るのは、Mailevaが再び郵便を送れるかどうかではなく、受取人が自分の情報流出について、巧妙な偽メッセージを見破れるだけの情報を得ているかどうかだ。⁠1