Vol de données chez Maileva : 22 millions d'adresses exposées sans que les victimes soient prévenues
La filiale de La Poste Maileva a subi une cyberattaque exposant les noms et adresses de 22 millions de personnes. Beaucoup ignorent encore qu'elles sont concernées.
Cyberattaque Maileva : des millions de destinataires touchés à leur insu
Vingt-deux millions de noms et adresses postales ont été dérobés chez Maileva, filiale de La Poste spécialisée dans l'envoi dématérialisé de courriers, révèle jechange.fr. La particularité de cette fuite : les victimes ne sont pas les clients de Maileva, mais les destinataires de leurs lettres — locataires, patients, salariés, usagers — qui n'ont jamais eu aucune relation contractuelle avec cette société.
Le groupe La Poste a confirmé l'incident le 14 novembre, deux mois après l'intrusion initiale. Maileva imprime et achemine pour le compte de milliers d'entreprises et d'organismes des bulletins de paie, des factures, des lettres recommandées ou encore des convocations d'assemblée générale. La société revendique plus de 70 000 utilisateurs et 180 millions de documents envoyés en 2024. Chaque courrier transitant par sa plateforme portait le nom et l'adresse de son destinataire, et une partie de ces fichiers a été exfiltrée.
L'ampleur de la fuite révélée tardivement
Le groupe La Poste évoque officiellement « l'exposition des coordonnées (prénom, nom, adresse postale) de 22 millions de personnes ». Ce chiffre n'est apparu que bien après les premières alertes. Fin septembre, Maileva ne mentionnait encore que des tentatives d'accès à des comptes clients et des envois frauduleux de courriers.
Selon des documents internes cités par le site cyberattaque.org, la base de données volée contiendrait environ 39 millions de références de courriers, ramenées à 22 millions de personnes une fois les doublons supprimés. Maileva a notifié la Commission nationale de l'informatique et des libertés (CNIL) et déposé plainte. Une enquête judiciaire est en cours. L'affaire s'inscrit dans une série récente de fuites de données, après celles concernant Engie et le Crédit Mutuel Arkéa.
Un vide juridique laisse les victimes sans information directe
Le Règlement général sur la protection des données (RGPD) distingue le responsable de traitement du sous-traitant. Maileva agit en sous-traitant : elle traite les adresses pour le compte de ses clients entreprises. Elle est tenue d'informer ces derniers, mais c'est à eux — et non à Maileva — qu'incombe l'obligation de prévenir les personnes concernées. Maileva le confirme elle-même dans ses communications : informer les destinataires relève de la responsabilité de ses clients, qu'elle affirme avoir tous avertis.
Or Maileva compte « plusieurs milliers » d'entreprises clientes concernées, et ne publie aucun bilan des notifications effectivement envoyées aux personnes. Le texte réglementaire laisse par ailleurs des marges d'interprétation aux organismes quant aux délais et modalités d'information.
Certains clients ont néanmoins agi. Des bailleurs sociaux comme Flandre Opale Habitat et Altéal, l'hôpital Foch à Suresnes ou des laboratoires d'analyses médicales ont publié leurs propres avis entre le 9 octobre et le 9 novembre. Ces communications montrent que certains courriers contenaient davantage qu'une simple adresse postale.
Risques concrets : le courrier papier, vecteur de fraude sous-estimé
Une adresse postale volée ouvre des possibilités différentes d'une adresse e-mail. Elle permet d'envoyer une lettre papier au bon nom, imitant l'organisme dont le destinataire attendrait justement une communication. Le support papier inspire généralement plus de confiance qu'un e-mail et échappe aux filtres antispam.
Associée à d'autres données — une relance de facture, un numéro de client ou une date de soins — la lettre devient encore plus crédible. Parmi les scénarios à surveiller dans les prochaines semaines : des demandes de paiement frauduleuses imitant un bailleur, une mutuelle ou un opérateur ; des faux courriers de laboratoire ou d'hôpital précédant une tentative de détournement de remboursements de santé ; ou encore des tentatives de constitution de dossiers frauduleux combinant ces données avec d'autres fuites antérieures.
Un nom et une adresse seuls ne suffisent pas à ouvrir un crédit. Combinés à d'autres informations disponibles via des fuites précédentes, ils peuvent en revanche contribuer à l'élaboration d'un faux dossier. Le fichier des incidents de remboursement de la Banque de France reste consultable gratuitement pour vérifier d'éventuels crédits souscrits à son insu.
Comment se protéger en l'absence de liste publique des victimes
Aucune liste publique ne permet à ce jour de vérifier si une adresse figure parmi les données volées. Jechange.fr recommande de considérer comme suspect tout courrier sollicitant un paiement ou des informations personnelles, et d'en vérifier l'authenticité directement auprès de l'organisme expéditeur via ses coordonnées officielles — et non celles figurant dans le courrier reçu.
En cas de virement déjà effectué, contacter sa banque sans délai reste la démarche prioritaire. Une opération non autorisée ouvre des droits au remboursement, contrairement à un virement validé volontairement par le titulaire du compte.
Certaines assurances habitation incluent une protection juridique ou une garantie contre l'usurpation d'identité, susceptibles de couvrir les frais d'avocat ou de démarches administratives si le nom d'un assuré est utilisé à des fins frauduleuses, sous réserve que cette option figure au contrat.
Pour tout doute sur un courrier émanant d'un organisme de santé, l'espace en ligne officiel de l'organisme ou son numéro habituel constitue la source d'information fiable : une facture authentique y est en principe accessible.
Source: Google News LU FR