Maileva, filiale de La Poste : les coordonnées de 22 millions de personnes volées lors d'une cyberattaque

Une fuite annoncée deux mois après l'attaque Maileva, filiale du groupe La Poste, a été victime à la mi-septembre d'une cyberattaque qui a conduit au vol des coordonnées de 22 millions de personnes, a annoncé La Poste à l'AFP samedi 14 novembre [S1][S2][S3][S5][S7]. Le groupe confirme ainsi des informations publiées par le site spécialisé cyberattaque.org, qui qualifie l'incident de « l'une des plus importantes fuites de données en France » [S1][S3][S4]. LCI cite aussi un autre site spécialisé, FrenchBreaches, parmi ceux qui avaient révélé l'affaire [S6].

Toutes les sources concordent sur le calendrier : l'attaque remonte à la mi-septembre, mais elle n'est rendue publique que près de deux mois plus tard [S1][S2][S3]. Les articles disponibles n'expliquent pas ce délai, ni la date à laquelle Maileva a détecté l'intrusion.

Quelles données ont été dérobées Dans une déclaration transmise à l'AFP, le groupe La Poste précise que l'attaque « a mené à l'exposition des coordonnées (prénom, nom, adresse postale) de 22 millions de personnes, destinataires des entreprises clientes de Maileva » [S2][S3][S7]. Selon cyberattaque.org, repris par franceinfo, « plusieurs milliers d'entreprises clientes » sont concernées, notamment dans le logement social, la santé et les services publics [S1]. Aucune des sources ne fait état du vol de données bancaires, de mots de passe ou du contenu des courriers ; ce point n'est ni confirmé ni démenti à ce stade.

Qui est Maileva Maileva est une plateforme spécialisée dans l'envoi de courriers professionnels pour les PME et les entreprises de taille intermédiaire : bulletins de paie, recommandés, factures, convocations d'assemblées générales [S1][S3][S4]. Elle est une filiale de Docaposte, elle-même filiale du groupe La Poste, et revendique plus de 70 000 utilisateurs et 180 millions de documents envoyés en 2024 [S2][S4][S6].

Les 22 millions de personnes concernées ne sont donc pas, pour l'essentiel, des clientes de Maileva : ce sont les destinataires de courriers expédiés par d'autres organisations, employeurs, bailleurs ou fournisseurs, qui n'ont pas choisi ce prestataire et n'en connaissaient souvent pas l'existence [S3][S7].

CNIL notifiée, entreprises informées, enquête ouverte Maileva « a notifié la Commission nationale de l'informatique et des libertés (CNIL) et déposé une plainte », et « une enquête judiciaire est en cours », a indiqué La Poste [S2][S3][S5][S6]. Le groupe ajoute que, « conformément à la réglementation, toutes les entreprises concernées ont été informées de l'incident par Maileva » [S1][S3][S4]. En revanche, les sources ne disent pas si les 22 millions de destinataires seront prévenus individuellement, ni par qui. L'auteur de l'attaque et la méthode employée n'ont pas été communiqués, et aucune revendication n'est mentionnée.

Une série d'attaques L'affaire s'inscrit dans une multiplication des cyberattaques contre des entreprises et des organismes publics ces derniers mois [S4][S6][S7]. La Poste elle-même avait déjà été touchée l'an dernier, à quelques jours de Noël, par une attaque revendiquée par des hackers prorusses [S3][S6][S7]. La semaine dernière, Crédit Mutuel Arkéa a déclaré avoir été la cible d'une cyberattaque d'un montant de l'ordre de 100 millions d'euros, selon LCI [S6].

Ce que cela change pour les personnes concernées Un nom associé à une adresse postale et à l'identité d'un expéditeur (employeur, bailleur, fournisseur) peut servir à des escroqueries ciblées, par courrier, téléphone ou message, en se faisant passer pour un organisme connu. Face à un risque qu'elles n'ont pas pu prévenir, les personnes concernées n'ont guère d'autre levier immédiat que la vigilance envers les sollicitations inattendues. La question de la responsabilité se pose en chaîne : celle du prestataire qui conservait les données, et celle des entreprises qui lui ont confié les coordonnées de leurs salariés, locataires ou clients. L'enquête judiciaire et l'éventuelle procédure de la CNIL devront établir qui répond de quoi.