Piratage de Maileva : 22 millions de personnes concernées, et vous, entreprise cliente, que devez-vous faire ?
Ce que l'on sait de l'incident chez la filiale de La Poste, et les obligations qui retombent sur ses clients
Image générée par IA (art. 50 AI Act)
Analyse 2LKATIME
Maileva, service d'envoi de courriers de Docaposte (groupe La Poste), a confirmé à Cyberattaque.org, dans un article du 13 novembre, que 22 millions de personnes sont concernées par un vol de données d'identification. Nous avons croisé quatre sources : Cyberattaque.org, Fuites Infos, FrenchBreaches et les communiqués de plusieurs clients. Nous n'avons pas trouvé de communiqué public de Docaposte ni de la CNIL, et nous le signalons là où cela compte.
Le prestataire a été piraté, la responsabilité reste chez vous
Maileva indique que l'information des personnes concernées relève de ses clients. Si vous lui confiez des courriers, vous êtes probablement le responsable du traitement au sens du RGPD : c'est à vous de juger s'il faut notifier la CNIL et prévenir vos clients ou vos patients, même si vous n'avez pas été piraté.
Une entreprise ou une administration qui envoie des courriers via Maileva ne se pose pas la question de sa sécurité. Elle imprime, elle expédie, et l'information circule. C'est pourtant dans cette base de suivi que 39 millions de références de courriers, soit 22 millions de personnes distinctes, se sont retrouvées exposées.
Pour une PME, le sujet est moins le nombre que le mécanisme : un prestataire que personne ne surveille détient des données de vos clients, parfois sur dix ans. Voici ce que l'on sait, ce qui reste flou, et les gestes à faire si vous utilisez ce service ou un équivalent.
1. Ce que l'on sait de l'incident
22 millions
Personnes distinctes concernées, selon Maileva
39 millions
Références de courriers dans la base concernée
Plusieurs milliers
D'entreprises clientes de Maileva concernées, selon Maileva
10 ans
D'ancienneté possible des courriers, selon les contrats
Selon le document de Docaposte du 5 octobre que FrenchBreaches a consulté, le pirate a exploité une faille dans une application de Maileva pour accéder à une base de suivi des courriers. Nous n'avons pas vu ce document nous-mêmes et nous nous fions à la description qu'en fait ce site. Ce que Maileva a dit à ses clients au départ était plus étroit : des tentatives d'accès pour envoyer des courriers de façon illégitime.
La chronologie, telle que les sources la reconstituent, tient en six étapes.
9 septembre
Premières activités suspectes, d'après un document de Docaposte du 5 octobre que FrenchBreaches a consulté. L'incident est détecté les 16 et 17 septembre.
23 septembre, 7 heures
Maileva suspend tous ses services. Son message aux clients parle de tentatives d'accès non autorisé pour envoyer des courriers de façon illégitime, et d'un dépôt de plainte.
28 et 29 septembre
Les services reprennent. Les sources donnent le 28 pour le début de la reprise, et Docaposte le 29 pour le rétablissement complet.
5 octobre
Le document de Docaposte décrit un accès à une base de 39 millions de références de courriers, soit environ 22 millions de personnes, par une faille dans une application.
Du 9 octobre au 9 novembre
Des clients informent leurs usagers : Santé au Travail en Cornouaille, Inovie, Flandre Opale Habitat, l'Hôpital Foch, Altéal.
12 et 13 novembre
Maileva confirme par écrit à Cyberattaque.org le chiffre de 22 millions de personnes et indique que plusieurs milliers d'entreprises clientes sont concernées.
2. Quelles données sont concernées
Elles varient selon que vous étiez destinataire, client expéditeur, ou client facturé par Maileva. Le chiffre de 22 millions porte sur le nom, le prénom et l'adresse postale. Il ne signifie pas que le contenu des courriers de ces 22 millions de personnes a été pris.
| Catégorie | Données citées | Source |
|---|---|---|
| Destinataires des courriers | Nom, prénom, civilité ou genre, adresse postale | Citées par Maileva et plusieurs clients |
| Comptes clients et expéditeurs | Noms associés aux comptes, identifiants de connexion, adresses e-mail, noms des fichiers envoyés | Document de Docaposte, d'après FrenchBreaches |
| Facturation de Maileva (OpenCell) | Contacts de facturation, montants de factures, IBAN d'entreprises clientes | Document de Docaposte, d'après FrenchBreaches |
| Selon le client et le type de courrier | Numéro de client, informations sur le logement, numéro de facture, date des soins, montant à payer | Flandre Opale Habitat, Hôpital Foch |
L'Hôpital Foch est le cas le plus sensible. Il indique qu'un pirate a pu consulter le contenu de relances de paiement envoyées entre le 9 et le 23 septembre : nom, adresse, numéro de facture, date des soins et montant dû, avec le fait d'avoir été pris en charge dans l'établissement. Ces relances passent par un prestataire de recouvrement qui utilise Maileva. Cette période commence à la date des premières activités suspectes du document de Docaposte, ce qui est cohérent sans prouver le lien.
3. Ce qui reste flou
Trois points demandent de la prudence. Le premier : les données ont-elles été volées ou seulement rendues accessibles ? Maileva parle de vol auprès de Cyberattaque.org, alors que FrenchBreaches, d'après le document de Docaposte, indique que l'étendue du téléchargement n'est pas établie. Nous ne tranchons pas.
Le deuxième : les informations sur la CNIL sont parcellaires. Maileva dit l'avoir notifiée, selon sa réponse à Cyberattaque.org, et Altéal l'indique aussi. Flandre Opale Habitat et l'Hôpital Foch disent l'avoir fait de leur côté. En revanche, le message initial de Maileva à ses clients n'en faisait pas mention, relève Fuites Infos. Le troisième : aucun auteur n'est identifié dans les sources lues, et nous n'avons pas trouvé de revendication.
Notre lecture : même sans trancher ces points, l'obligation de réflexion du client est identique. Vous ne pouvez pas attendre que tout soit éclairci pour évaluer votre situation.
4. Vos obligations de client
Le RGPD distingue le responsable du traitement, qui décide pourquoi et comment les données sont utilisées, du sous-traitant qui agit pour son compte. En envoyant vos courriers via Maileva, vous êtes en principe responsable du traitement et Maileva votre sous-traitant. Le sous-traitant doit vous informer sans retard injustifié d'une violation (article 33). Vous devez ensuite notifier la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation n'entraîne vraisemblablement aucun risque pour les personnes.
Si le risque est élevé, l'article 34 impose d'informer aussi les personnes. Des dates de soins ou des montants dus pèsent plus lourd que de simples adresses. Toute violation, notifiée ou non, doit être consignée. Le calcul exact du délai et l'évaluation du risque sont des questions juridiques : faites-vous aider de votre délégué à la protection des données ou d'un avocat.
L'article 28 impose en outre un contrat de sous-traitance. Il doit prévoir la sécurité, la notification des incidents, l'audit et l'encadrement des sous-traitants ultérieurs. L'incident de Maileva montre pourquoi cette dernière clause compte : la chaîne hôpital, société de recouvrement, Maileva reste invisible pour les patients en bout de ligne.
5. Que vérifier cette semaine
Sept actions, de la plus urgente à la plus structurelle.
1. Savoir si vous êtes concerné, directement ou non
Vérifiez si votre entreprise, ou un logiciel de facturation, de gestion ou de recouvrement que vous utilisez, envoie des courriers via Maileva. Demandez la réponse par écrit à vos éditeurs et prestataires.
2. Demander à Maileva le détail qui vous concerne
Quelles données de vos envois, sur quelle période, pour quel volume, et dans quelles bases. Les listes diffèrent d'un client à l'autre : celle d'un hôpital n'est pas celle d'un bailleur.
3. Sécuriser votre compte et votre connexion
Changez les mots de passe, renouvelez les clés d'API si vous en utilisez, supprimez les utilisateurs inutiles, activez la double authentification si elle est proposée, et relisez l'historique des envois récents.
4. Décider de la notification et la documenter
Évaluez le risque pour les personnes, décidez de la notification CNIL et de l'information des personnes, et consignez la décision et ses raisons dans votre registre des violations.
5. Prévenir vos clients et vos fournisseurs
Les données de facturation et d'adresses servent à fabriquer de faux courriers et de fausses relances. Mettez en place un rappel téléphonique obligatoire avant tout changement de coordonnées bancaires.
6. Réduire ce que vous laissez chez le prestataire
Demandez la durée de conservation des courriers et des historiques, faites purger ce qui n'a plus d'utilité, et utilisez des noms de fichiers neutres : un nom de fichier peut en dire long.
7. Relire le contrat de sous-traitance
Délai de notification en cas d'incident, mesures de sécurité, droit d'audit, liste des sous-traitants ultérieurs. Dans le cas de l'Hôpital Foch, la chaîne comptait trois acteurs.
6. Ce que 2LKATIME recommande
Faites l'inventaire de vos prestataires qui détiennent des données de vos clients : envoi de courriers, facturation, recouvrement, hébergement, outils métiers. Pour chacun, notez ce qu'il conserve, combien de temps, et ce que prévoit le contrat en cas d'incident. Nos audits cybersécurité intègrent cette revue de la chaîne de sous-traitance, et notre surveillance du darkweb vous alerte si des données de votre entreprise apparaissent dans une fuite.
Ce sujet prolonge notre article sur les fuites de la CAF et de France Travail, où l'ANSSI cite déjà la sous-traitance parmi les faiblesses récurrentes. Les entreprises de Paris, de Lyon ou de Bordeaux trouveront les formules sur nos pages tarifs. L'accompagnement se fait aussi à distance partout en France.
FAQ - Piratage d'un prestataire de courrier
Je n'ai jamais entendu parler de Maileva : puis-je être concerné ?
Oui. Maileva imprime et expédie des courriers pour le compte d'entreprises, de bailleurs, de laboratoires, d'hôpitaux et d'administrations. Vous avez pu figurer comme destinataire d'un courrier sans connaître le prestataire. Votre entreprise peut aussi être concernée par un intermédiaire : l'Hôpital Foch, par exemple, passe par un autre prestataire qui utilise lui-même Maileva.
Les 22 millions de personnes ont-elles toutes vu leurs données volées ?
Les sources ne disent pas tout à fait la même chose. Maileva a déclaré à Cyberattaque.org que 22 millions de personnes sont concernées par le vol de leurs données d'identification. FrenchBreaches, qui a consulté un document de Docaposte du 5 octobre, précise que le chiffre correspond aux personnes présentes dans le périmètre accessible au pirate, sans établir que tout a été téléchargé. Dans les deux cas, il s'agit de nom, prénom et adresse, pas du contenu des courriers.
Mon prestataire a déjà notifié la CNIL : dois-je le faire aussi ?
Pas forcément de la même façon, mais votre propre obligation ne disparaît pas. Si vous êtes le responsable du traitement, le RGPD vous demande d'évaluer le risque pour les personnes dont vous avez confié les courriers, de notifier la CNIL si ce risque existe, et d'informer les personnes si le risque est élevé. Maileva indique elle-même que l'information des personnes relève de ses clients. Appuyez-vous sur votre délégué à la protection des données ou sur un avocat pour trancher.
Mon IBAN peut-il être utilisé après cette fuite ?
Le document de Docaposte cité par FrenchBreaches mentionne, pour l'outil de facturation de Maileva, les IBAN d'entreprises clientes, les montants de factures et les contacts de facturation. Un IBAN seul ne permet pas de vider un compte, mais il sert à fabriquer de fausses demandes de paiement crédibles. Surveillez vos prélèvements et vérifiez par téléphone toute demande de changement de coordonnées bancaires.
Que faire si je suis un particulier destinataire de courriers ?
Restez vigilant face aux faux courriers, e-mails ou appels qui reprennent votre nom, votre adresse ou une situation réelle, comme un loyer ou une facture. Ne cliquez pas sur un lien reçu : passez par le site officiel de l'organisme. En cas de doute ou d'arnaque, le dispositif public cybermalveillance.gouv.fr accompagne gratuitement les victimes.
Sources
- Cyberattaque.org : Docaposte confirme le vol des adresses de 22 millions de Français (13 novembre 2026)
- Fuites Infos : Maileva, cyberattaque contre sa plateforme d'envoi de courriers (mis à jour le 12 novembre 2026)
- FrenchBreaches : les données de 22 millions de personnes exposées chez un service du groupe La Poste (9 octobre 2026)
- Fuites Infos : Flandre Opale Habitat, fuite possible chez le prestataire Maileva (5 novembre 2026)
Savez-vous qui détient les données de vos clients ?
2LKATIME dresse la carte de vos prestataires, relit vos contrats de sous-traitance et surveille l'apparition de vos données dans les fuites. Vous repartez avec une liste d'actions classées par priorité.