Les prestataires techniques, que le grand public ne connaît pas, sont devenus l’un des maillons les plus exposés de la sécurité des données en France. Le groupe La Poste a confirmé le samedi 14 novembre 2026 une fuite de données Maileva touchant 22 millions de personnes, dont les noms, prénoms et adresses postales ont été dérobés lors d’une cyberattaque remontant à la mi-septembre.

Un sous-traitant du courrier au cœur de milliers d’organisations

Maileva est une marque de Docaposte, la filiale numérique du groupe La Poste, et sa plateforme sert à imprimer, poster et suivre le courrier professionnel de clients aussi variés que des entreprises privées, des administrations, des établissements publics ou des organismes de santé. Factures, relances de paiement, avis d’échéance et documents administratifs transitent par ses serveurs. Une seule intrusion peut donc concerner une part très large de la population.

Le service a été suspendu par précaution le 23 septembre 2026 à 7h00, après la détection d’activités informatiques suspectes sur ses systèmes. Le lendemain, Maileva signalait à ses clients des tentatives d’accès non autorisé à certains comptes, destinées à envoyer des courriers frauduleux. Les comptes en cause ont été bloqués, et les services ont été pleinement rétablis le 29 septembre, après six jours d’interruption.

À ce stade, aucune fuite massive n’avait été rendue publique. Il aura fallu près de deux mois pour que le groupe reconnaisse l’ampleur réelle de la cyberattaque Maileva, qu’il présente lui-même comme l’une des plus importantes fuites de données en France.

Ce que contient la fuite de données Maileva

Selon La Poste, les informations dérobées se limitent pour la majorité des personnes à leur identité (nom et prénom) et à leur adresse postale, sans coordonnées bancaires ni mot de passe. Une base de suivi des correspondances a toutefois été consultée par un tiers. Des documents internes y recensent environ 39 millions de références de courriers, soit 22 millions de personnes distinctes une fois les doublons supprimés.

Le détail varie sensiblement d’un client à l’autre, puisque chaque organisation confiait à Maileva des envois de nature différente :

  • pour un service de santé au travail du Finistère, la base comprenait aussi des adresses électroniques, des identifiants d’expéditeurs et les noms des fichiers associés aux courriers ;
  • le bailleur social Flandre Opale Habitat, qui gère environ 20 000 logements, a prévenu ses locataires que des numéros de client, des informations sur le logement et des montants de factures figuraient dans les données, certaines remontant à dix ans ;
  • l’hôpital Foch de Suresnes a indiqué que des numéros de facture, des dates de soins et des montants de relances envoyées entre le 9 et le 23 septembre 2026 étaient concernés, sans mention de la nature des soins ;
  • des laboratoires d’analyses du groupe Inovie, le bailleur Altéal en Occitanie et une régie de Lorient Agglomération ont également notifié leurs usagers.

Maileva fait état de plusieurs milliers d’entreprises clientes touchées, sans en publier la liste. Le prestataire estime que l’information des personnes concernées relève de chacun de ces clients, d’où la succession de notifications individuelles envoyées depuis début octobre.

Une ampleur qui rappelle France Travail

Avec 22 millions de personnes, l’incident concerne l’équivalent d’un tiers de la population française. Parmi les fuites connues dans le pays, seul le piratage de France Travail, qui avait exposé jusqu’à 43 millions de personnes en mars 2024, dépasse cet ordre de grandeur. Il s’ajoute à une série d’attaques qui ont visé ces dernières semaines des acteurs publics ou parapublics, comme la cyberattaque contre l’Établissement français du sang ou le piratage de l’ANTS et de SFR.

Le cas Maileva La Poste illustre surtout la fragilité des chaînes de sous-traitance. Les victimes n’ont souvent jamais entendu parler du prestataire qui imprimait leurs factures, et découvrent la fuite par un courrier de leur bailleur, de leur laboratoire ou de leur hôpital.

Un risque d’hameçonnage ciblé plus que de fraude bancaire

L’absence de données bancaires limite le risque de prélèvements frauduleux directs. Reste que l’association d’un nom, d’une adresse et parfois d’un organisme créancier fournit aux escrocs de quoi monter un hameçonnage crédible, c’est-à-dire de faux messages imitant un expéditeur connu pour soutirer des informations ou un paiement. Une fausse relance d’un bailleur ou d’un laboratoire, mentionnant un montant réaliste, devient ainsi plus difficile à repérer qu’un message générique.

Rien n’indique pour l’heure que l’ensemble des données ait été publié ou mis en vente sur des forums clandestins, et l’attaque n’a été revendiquée par aucun groupe connu. Les réflexes à adopter après ce type d’incident sont détaillés dans le guide consacré à la vérification d’une fuite de données et à la protection de ses comptes.

Plainte, CNIL et enquête judiciaire

Maileva a notifié la Commission nationale de l’informatique et des libertés (CNIL), comme l’impose le RGPD à toute organisation victime d’une violation de données personnelles. Sa plainte a conduit à l’ouverture d’une enquête judiciaire, toujours en cours. L’entreprise n’a communiqué ni le mode opératoire de l’intrusion ni l’identité des auteurs. La CNIL n’a pas encore indiqué si elle engagerait une procédure de contrôle visant le prestataire de La Poste.