Une intrusion détectée des semaines plus tard

Selon La Poste, l'attaque remonte à la mi-septembre 2026. Elle a « mené à l'exposition » des coordonnées, prénom, nom et adresse postale, de 22 millions de personnes, toutes destinataires de courriers envoyés par des entreprises clientes de Maileva. Le site spécialisé French Breaches, qui avait évoqué l'existence de cette fuite dès le 9 octobre, précise qu'un « acteur malveillant externe » aurait obtenu un accès non autorisé au système d'information de production de la plateforme en exploitant une faille applicative. Toujours selon ce site, 39 millions de références de courriers auraient été concernées par l'intrusion.

Maileva, filiale de Docaposte elle-même rattachée au groupe La Poste, est spécialisée dans l'envoi de courriers professionnels pour le compte de petites et moyennes entreprises ainsi que d'entreprises de taille intermédiaire : bulletins de paie, lettres recommandées, factures ou encore convocations d'assemblées générales. La société revendique plus de 70 000 utilisateurs professionnels et affirme avoir expédié 180 millions de documents en 2024.

Des secteurs sensibles concernés

D'après cyberattaque.org, qui qualifie cet incident de l'une des plus importantes fuites de données jamais recensées en France, plusieurs milliers d'entreprises clientes seraient concernées, notamment dans les secteurs du logement social, de la santé et des services publics. Plusieurs organismes ont d'ailleurs averti ces dernières semaines leurs usagers ou patients d'une possible fuite de données liée à ce prestataire d'envoi de courriers. Parmi eux figureraient l'hôpital Foch, à Suresnes, dans les Hauts-de-Seine, les bailleurs sociaux Altéal et Flandre Opale Habitat, ainsi que plusieurs laboratoires du groupe Inovie.

French Breaches indique également que des informations bancaires liées à des entreprises utilisatrices de Maileva auraient pu être compromises, ce qui ferait craindre des tentatives d'hameçonnage ciblant des dirigeants ou des directions financières.

Une enquête judiciaire ouverte

Maileva affirme avoir notifié la Commission nationale de l'informatique et des libertés et avoir déposé plainte. Une enquête judiciaire est désormais en cours pour déterminer les circonstances précises de cette violation de sécurité informatique. La Poste précise que, conformément à la réglementation, toutes les entreprises concernées ont été informées de l'incident par sa filiale.

Cet épisode s'inscrit dans une série d'attaques informatiques qui se sont multipliées ces derniers mois en France contre des entreprises comme des organismes publics. La semaine précédente, le Crédit Mutuel Arkéa avait indiqué avoir été visé par une cyberattaque évaluée à environ 100 millions d'euros. Début 2024, France Travail avait pour sa part subi une intrusion massive exposant les données de 43 millions de personnes. L'an dernier déjà, La Poste avait été la cible d'une cyberattaque revendiquée par des hackers prorusses, survenue à quelques jours de Noël. Deux ans plus tard, c'est à nouveau une de ses filiales qui se retrouve au cœur d'une fuite de données parmi les plus vastes jamais enregistrées dans le pays.