Maileva a suspendu ses services le 23 septembre : le vol de données touche les coordonnées de 22 millions de personnes
La plateforme de courriers professionnels du groupe La Poste a subi une cyberattaque à la mi-septembre. Derrière les 22 millions de personnes concernées, découvrez le rôle de cet intermédiaire, les informations exposées et les démarches engagées.
L'essentiel
- Une cyberattaque a visé Maileva à la mi-septembre ; ses services ont été suspendus le 23 septembre.
- Les coordonnées de 22 millions de destinataires de courriers sont concernées.
- Selon les entreprises, d’autres informations ont pu être exposées.
- La Poste a averti la CNIL et porté plainte ; une enquête judiciaire est ouverte.
Un intermédiaire entre les entreprises et leurs destinataires
Vous pouvez être concerné sans avoir jamais utilisé Maileva. Cette plateforme permet à des PME et à des entreprises de taille intermédiaire d’expédier leurs courriers professionnels. Les personnes touchées sont les destinataires de ces envois, et non uniquement les utilisateurs du service. Plusieurs milliers d’entreprises clientes sont concernées par l’incident.
Maileva appartient à Docaposte, une filiale du groupe La Poste. Son activité donne la mesure des volumes traités : elle revendique plus de 70 000 utilisateurs et 180 millions de documents expédiés en 2024. Ce rôle central dans les envois de nombreuses entreprises explique qu’une attaque contre cette plateforme puisse toucher un très grand nombre de particuliers.
Une suspension le 23 septembre après une activité suspecte
L’attaque remonte à la mi-septembre. Après le repérage d’une activité suspecte, Maileva a interrompu l’ensemble de ses services le 23 septembre. Un document de Docaposte daté du 5 octobre faisait ensuite état d’une faille dans une application de la plateforme. L’incident associe donc une interruption du service et une exposition de données personnelles.
Le chiffre de 22 millions correspond à des personnes distinctes, après suppression des doublons. Une nuance compte : le document de Docaposte décrivait les personnes dont les données étaient accessibles à l’attaquant, sans établir que la totalité avait été téléchargée. Le périmètre accessible et le volume effectivement emporté ne se confondent donc pas. Le nombre de destinataires concernés ne permet pas, à lui seul, de mesurer chaque extraction.
Des coordonnées postales, mais aussi des informations variables selon les clients
Le vol porte sur l’identité et l’adresse postale : nom, prénom et lieu de réception du courrier. Selon les clients de Maileva, l’exposition peut toutefois aller au-delà. Flandre Opale Habitat a ainsi prévenu ses locataires que leur adresse électronique, leur identifiant client, des renseignements relatifs au logement et des montants facturés pouvaient également être concernés. Les envois en question s’étendent sur dix ans.
L’hôpital Foch figure aussi parmi les établissements concernés, par l’intermédiaire d’un sous-traitant. Pour certains clients, des dates de soins ont pu être exposées. Cela ne signifie pas que tous les courriers ont été intégralement dérobés : leur contenu n’a pas été emporté de façon systématique. La nature des informations touchées dépend donc du dossier et de l’entreprise ayant utilisé la plateforme.
Maileva affirme qu’aucune donnée bancaire n’est concernée et ne cite pas de mots de passe parmi les éléments volés. Inovie exclut également les données de paiement et les mots de passe. Ces distinctions évitent de confondre ce dossier avec d’autres sujets de sécurité, comme l’exposition d’identifiants dans Outlook ou les données financières confiées aux assistants IA.
La CNIL avertie et une enquête judiciaire en cours
La Poste indique avoir informé les entreprises concernées conformément aux obligations réglementaires. Cette communication vise les clients professionnels de Maileva, qui assurent la relation avec les destinataires de leurs courriers. L’alerte adressée aux locataires de Flandre Opale Habitat illustre ce relais : elle précise les catégories d’informations potentiellement exposées dans leur situation.
Le groupe déclare également avoir notifié l’incident à la CNIL et déposé plainte. Une enquête judiciaire est en cours. Deux démarches accompagnent ainsi la réponse de l’entreprise : le signalement à l’autorité chargée de la protection des données personnelles et la procédure judiciaire ouverte après l’attaque.
