Tecnologia · Vazamento na Maileva
Vazamento na Maileva roubou nomes e endereços de 22 milhões de pessoas. Algumas cartas expuseram mais
Vídeo no idioma original
Traduzido do original em inglês.
O serviço de correspondência da Maileva já havia voltado a funcionar havia mais de seis semanas quando a La Poste confirmou a dimensão do que tinha sido roubado: nomes e endereços postais de 22 milhões de pessoas. A suspensão de setembro havia terminado. As consequências para pacientes, inquilinos e outros destinatários de cartas, não.16
A La Poste confirmou o número à AFP em 14 de novembro de 2026, um dia depois de o Cyberattaque.org publicar o total. As vítimas eram destinatários de correspondências enviadas por clientes empresariais da Maileva — não necessariamente pessoas que abriram uma conta na Maileva, ou que sequer sabiam que ela existia. Vários milhares de organizações clientes foram afetadas.1061
A Maileva afirma que os dados bancários não foram afetados. Mas as notificações de clientes individuais mostram por que essa garantia tem limites: algumas cartas potencialmente acessíveis continham números de fatura reais, datas de atendimento, valores devidos ou informações sobre moradia. Esses detalhes podem fazer uma solicitação fraudulenta de pagamento parecer uma pendência com uma organização que o destinatário realmente conhece.6827
As duas contagens medem coisas diferentes. O total de 22 milhões exclui indivíduos duplicados. O BigGo Finance informa aproximadamente 39 milhões de referências de correspondências, citando documentos internos atribuídos à Docaposte: uma pessoa pode receber várias cartas, inclusive de organizações diferentes. Nenhuma das contagens comprova que toda a correspondência de cada destinatário tenha sido roubada.1
A Maileva opera dentro da Docaposte, parte do grupo estatal La Poste. Ela imprime e posta correspondências profissionais, incluindo faturas, avisos de cobrança, contracheques e cartas registradas. Seu site anuncia mais de 70.000 usuários e 20.000 clientes. Esse modelo de negócios reúne, em um único intermediário, informações de muitas organizações que, de resto, são separadas — e coloca ao alcance do mesmo vazamento pessoas que nunca escolheram esse intermediário.6120
Serviço restabelecido, vazamento sem solução
O ataque é descrito como ocorrido em meados de setembro; sua data exata de início não foi estabelecida. O que está documentado com precisão é a resposta operacional: a Maileva suspendeu os serviços em 23 de setembro, às 7h, após atividade suspeita e tentativas não autorizadas de acesso às contas de clientes. Sua comunicação inicial se concentrou em um invasor que tentava enviar cartas sem a autorização dos titulares das contas.718
Uma mensagem de 24 de setembro reproduzida pelo eWatchers tranquilizou um cliente, informando que sua conta não havia sofrido aquelas tentativas de acesso e que não tinha sido detectada nenhuma correspondência enviada pelo portal do cliente ou pela conta de API. Essa era uma declaração específica sobre tentativas de uso indevido da conta — não uma conclusão de que as informações em toda a plataforma continuavam confidenciais. A mensagem não anunciava nenhum roubo em massa.18
Um comunicado da plataforma em 28 de setembro descreveu uma reabertura gradual, enquanto o acesso à área do cliente e a todas as suas funções ainda aguardava restabelecimento. O Cyberattaque.org informa que as operações completas foram retomadas em 29 de setembro, após seis dias. Foram etapas da recuperação, não versões conflitantes sobre quando o mesmo serviço reabriu.1810
Em 9 de outubro, o problema de confidencialidade começava a ficar mais claro. Uma organização de saúde ocupacional de Cornouaille revelou acesso não autorizado a um banco de dados de rastreamento de correspondências que continha informações sobre remetentes e destinatários, além dos nomes de arquivos associados. A organização não conseguiu determinar se suas cartas completas tinham sido lidas ou extraídas. Mesmo essa exposição mais restrita é relevante: a identidade de um remetente da área médica ou um nome de arquivo revelador pode divulgar algo pessoal sem que ninguém abra o documento.10
O que as notificações dos clientes revelam
O Hôpital Foch, em Suresnes, oferece o exemplo documentado mais claro de conteúdo de cartas potencialmente exposto. O hospital usa a Kiwee para enviar avisos de cobrança; a Kiwee encarrega a Maileva de imprimi-los e postá-los. O Foch soube em 28 de outubro que o conteúdo de alguns avisos poderia ter sido consultado, segundo sua notificação de 6 de novembro.8
A notificação identifica avisos recebidos entre 9 e 23 de setembro de 2026. Além de nomes e endereços, eles contêm números de faturas, datas de atendimento e valores devidos. Não descrevem o tratamento nem contêm dados bancários dos pacientes. No entanto, revelam que uma pessoa identificada pelo nome recebeu atendimento no Foch — uma relação que o hospital reconhece explicitamente como informação sensível.8
O Foch afirmou que nenhum dado havia sido alterado ou excluído quando emitiu sua notificação. Informou a autoridade francesa de proteção de dados, a CNIL, solicitou detalhes à Kiwee e à Maileva e alertou as equipes de recepção e cobrança. A notificação afirma que a Maileva corrigiu a vulnerabilidade e reforçou a segurança. Essas medidas tratam do sistema; não comprovam que cópias das informações acessadas tenham sido recuperadas.8
A Inovie também revelou uma perda de confidencialidade que afetou alguns pacientes de vários laboratórios. Sua notificação identifica nomes, sobrenomes e endereços postais, excluindo dados de pagamento e senhas. É crucial que ela diga que a lista de pessoas potencialmente afetadas ainda não havia sido estabelecida — não que identificá-las fosse necessariamente impossível. Notificações em sites de vários laboratórios não significam que todos os laboratórios ou todos os pacientes foram afetados.3510
Para inquilinos, a possível exposição pode remontar a um período muito mais longo. A notificação de 3 de novembro da Flandre Opale Habitat diz que informações em correspondências enviadas ao longo dos dez anos anteriores poderiam estar acessíveis. Dependendo da carta, isso inclui dados de contato, números de cliente, informações sobre moradia e informações administrativas ou financeiras, como valores de faturas. A organização não forneceu um número de inquilinos afetados e ressalva que o alerta não significa que as informações de um inquilino específico tenham sido necessariamente consultadas ou usadas.271
A Altéal e a Erilia identificam nomes, gênero e endereços postais potencialmente expostos. Ambas alertam que os nomes de arquivos poderiam revelar circunstâncias pessoais ou trâmites administrativos, tornando uma mensagem fraudulenta mais convincente. A Erilia ainda verificava se outras informações dos dossiês tinham ficado visíveis; naquele momento, nada indicava exposição de dados bancários, senhas ou documentos de identidade. Ambas registraram os procedimentos exigidos pela CNIL.1615
A rede de transporte IZILO, que atende Lorient, é outra cliente afetada. A exposição divulgada inclui formas de tratamento, nomes, endereços postais e nomes de arquivos associados, em vez de dados bancários. Em conjunto, essas notificações mostram por que a lista nacional de campos confirmadamente roubados não consegue descrever por completo o risco para cada destinatário. A exposição adicional depende do que cada organização incluiu em suas correspondências.10
Uma fatura correta prova muito pouco
O perigo imediato é a personificação com o uso de informações autênticas. Um aviso falso pode citar um número de fatura, uma data de atendimento ou um valor devido verdadeiro e, em seguida, substituir as instruções de pagamento pelas de um criminoso. O Foch alerta que golpistas poderiam se passar pelo hospital, pela Kiwee, pelo sistema de seguro de saúde ou por uma seguradora mútua por e-mail, mensagem de texto, telefone ou correspondência em papel. Uma carta não é automaticamente confiável só porque o serviço original enviava correspondências.8
Há limites importantes para o que se sabe. A Flandre Opale Habitat, a Altéal e a Erilia não relataram nenhum uso fraudulento conhecido quando emitiram seus alertas. Não foi comprovada a divulgação pública ou a venda dos arquivos roubados. Esses são limites das evidências, não garantias de que não possa haver uso indevido.2716151
A regra prática é verificar uma cobrança inesperada por meio de dados de contato obtidos de forma independente, e não pelo número ou link fornecido na mensagem. O Foch e a Kiwee dizem que não pedirão senhas, códigos de segurança ou dados bancários por e-mail, mensagem de texto ou telefone. Se uma senha tiver sido divulgada, altere-a; se dinheiro tiver sido pago a um golpista, entre em contato imediatamente com o banco e registre uma denúncia.8
Isso não significa que contas legítimas devam deixar de ser pagas. O Foch ainda aceita pagamentos por seu serviço oficial on-line, na recepção do hospital ou por cheque nominal à associação Hôpital Foch. Transferências bancárias são possíveis após obter os dados da conta do hospital diretamente com o serviço de cobrança. O essencial é verificar quem forneceu as instruções de pagamento — não se a cobrança contém informações reconhecíveis.8
A Maileva notificou a CNIL e apresentou uma queixa, e uma investigação judicial está em andamento. A La Poste afirma que todas as empresas afetadas foram informadas. Essas medidas não estabelecem responsabilidade regulatória, não identificam o invasor nem determinam a extensão total do acesso aos documentos.4
Informar as empresas tampouco comprova que todas as 22 milhões de pessoas tenham sido avisadas. Cabe às organizações cujas correspondências elas receberam comunicar o ocorrido: um hospital ou laboratório, um locador, uma operadora de transporte. Ainda não há uma contagem pública consolidada de pessoas notificadas. Essa é a parte inacabada deste vazamento: não se a Maileva consegue voltar a enviar cartas, mas se os destinatários sabem o suficiente sobre sua própria exposição para reconhecer uma fraude convincente.1
Fontes37
13 matérias anteriores consultadas para contextualização.12 veículos sem data:
Todas as fontes, por veículo
48 fontes de 37 veículos· Mais citados primeiro
Cyberattaque.orgcyberattaque.org3
- Primeira notícia
- Docaposte confirme le vol des adresses de 22 millions de Français après une cyberattaque chez cette filiale de La Poste
- Inovie : les données de patients de plusieurs laboratoires compromises après la cyberattaque de Maileva
- Hôpital Foch : des factures médicales de patients exposées après une cyberattaque
Cyberiackcyberiack.com3
Maileva - Plateforme de confiance numérique pour entreprisesmaileva.com3
French Breachesfrenchbreaches.com2
Fuite de donnéesxn--fuitededonnes-lhb.fr2
Google News France (FR:fr)lefigaro.fr2
INOVIE +meinovie.frPrimeiro2
InYourGeekinyourgeek.com2
Altéalxn--altal-dsa.fr1
chip7.ch1
Conforme exibido
- Hackers stole names and postal addresses belonging to 22 million people. The victims received letters from businesses using Maileva, including healthcare and housing organizations. Some customer records could give fraudsters real billing details to make a false payment demand convincing.
- How much additional information did those letters expose, and how many recipients have been told their data was stolen?
- Maileva prints and posts correspondence for companies and public organizations. It operates within Docaposte, part of the state-owned La Poste group. A patient or tenant may never have known that this intermediary handled their letters.
- Its work includes invoices, payment reminders, payslips, administrative letters, meeting notices and registered mail. Maileva advertises more than 70,000 users and 20,000 clients. It processed a reported 180 million documents in 2024. Several thousand business customers are affected by this breach.
- La Poste's 22 million total removes duplicate individuals. The compromised database reportedly held approximately 39 million mail references. One person can receive several letters, including letters from different organizations using the same provider.
- La Poste confirmed the scale on November 14, 2026. The figure had become public the previous day. The service itself had already reopened in September, more than six weeks before that confirmation.
- The confirmed stolen fields are first names, surnames and postal addresses. Maileva says bank details weren't affected. Individual customers describe potentially accessible correspondence containing more personal information, including invoice details and the fact that someone received hospital care.
- Maileva stopped services on September 23 after suspicious activity and attempts to enter customer accounts without permission. Its early warning focused on an attacker trying to send letters through other people's accounts. The company blocked accounts and halted operations as a precaution.
- The suspension began at seven in the morning on September 23. A September 28 message described progressive reopening. Full operations resumed September 29, after six days. La Poste confirmed the 22 million-person scale on November 14.
- A September 24 message reassured one customer that its account hadn't suffered those access attempts or sent unauthorized letters. That reassurance concerned that customer's account and attempted misuse. Maileva hadn't announced the large-scale theft then. September 23 marks the shutdown; the attack was described as happening in mid-September.
- An occupational-health organization in Cornouaille disclosed access to a mail-tracking database on October 9. Potentially accessible information included sender and recipient identities, postal and email addresses, sender identifiers and filenames associated with letters.
- The organization couldn't tell whether anyone had read or extracted its full letters. But a filename or a medical sender's identity can itself reveal something personal. Restoring the ability to send mail hadn't resolved the consequences for information already accessed.
- Subscribe to this channel to follow which recipients are notified and what their organizations disclose next.
- Hôpital Foch's payment reminders show how personal information passes through several companies. The hospital uses Kiwee to send reminders. Kiwee then asks Maileva to print and post them, placing patients' correspondence inside the breached service.
- The hospital learned on October 28 that some reminder contents might have been read. Its November 6 notice identifies reminders received between September 9 and September 23. Alongside names and addresses, those letters contain invoice numbers, dates of care and amounts due.
- Foch says the letters don't describe the treatment or contain bank details. They do identify someone as having received care at the hospital. That relationship is sensitive information, even when the letter doesn't reveal a diagnosis.
- Foch said no data had been changed or deleted when it issued its notice. It notified France's data-protection regulator, the CNIL, requested details from Kiwee and Maileva, and alerted reception and billing staff. Its notice says Maileva corrected the vulnerability and strengthened security.
- Kiwee confirms correspondence for certain healthcare clients was involved. Inovie also says some patients at several laboratories lost confidentiality of their names and postal addresses. Its notice excludes payment data and passwords, and says it hadn't yet identified the potentially affected patients.
- Notifications appeared across AXBIO, BioMedilab, Biofusion, CBM, Gen-Bio, Biopyrénées and Labosud. A Novabio communication was reported on November 2. The notices concern some patients; each laboratory's own notification defines its scope. The exposed information passed through the mailing provider.
- Flandre Opale Habitat warns that correspondence spanning ten years could have been accessible. Its November 3 notice covers possible exposure of contact details, customer numbers, housing information and administrative or financial information, including invoice amounts.
- The provider manages approximately 20,000 homes across 259 communes in Hauts-de-France. It hasn't given an affected-tenant count. It cautions that a tenant's information wasn't necessarily read or used. Tenant-election documents were handled by Paragon and are excluded from this incident.
- Altéal and Erilia identify potentially exposed names, gender and postal addresses. Both warn that filenames could disclose someone's circumstances or administrative dealings. A scammer could use that context to make a message about a person's housing file more believable.
- Altéal manages more than 14,000 homes in Occitanie; its notification was reported November 9. Erilia was still checking whether other dossier information had been visible. It said nothing then indicated exposure of bank data, passwords or identity documents. Both made their own CNIL filings.
- The IZILO transport network in Lorient is also affected. Its exposed information includes forms of address, names, postal addresses and associated filenames. IZILO says bank details weren't involved. Healthcare, housing and transport customers share the consequences of one intermediary's breach.
- Flandre Opale Habitat, Altéal and Erilia reported no known fraudulent use when they issued their warnings. Public release or sale of the stolen files hasn't been confirmed. The immediate risk is impersonation using authentic information that a recipient recognizes.
- A false reminder can quote a genuine invoice number, care date or amount due, then direct payment to a criminal. Foch warns that scammers could impersonate the hospital, Kiwee, the health-insurance system or a mutual insurer through email, text, telephone or paper mail.
- Verify an unexpected demand through contact details you've obtained separately. Don't use the number or link supplied in that message. The correct name, tenancy reference or invoice amount doesn't prove that the person asking for money is entitled to receive it.
- Foch and Kiwee say they won't ask for a password, security code or bank details by email, text or telephone. If you've given a scammer a password, change it. If you've paid a fraudster, contact your bank immediately and file a complaint.
- Foch still accepts legitimate payments through its official online payment service, hospital reception, or a cheque payable to association Hôpital Foch. Bank transfers are also possible after obtaining the hospital's bank-account details directly from its collections service. Verify substituted payment instructions before sending money.
- Maileva has notified the CNIL and filed a complaint. A judicial investigation is underway. La Poste says all affected businesses have been informed. Those organizations must assess their notification obligations and communicate with the people whose information they handle.
- A patient may hear from a hospital or laboratory, a tenant from a landlord, and a passenger from a transport operator. The confirmed nationwide theft covers names and addresses. Additional exposure depends on each customer's letters. There's still no consolidated public count of how many of the 22 million people have actually been notified.
Tradução atualizada em
