La Poste : 22 millions de noms et d'adresses volés chez Maileva

La Poste a confirmé samedi 14 novembre 2026 que la cyberattaque visant Maileva, la plateforme de courriers professionnels de sa filiale Docaposte, a conduit au vol des prénoms, noms et adresses postales de 22 millions de personnes. Ces personnes ne sont pas forcément clientes de Maileva : ce sont les destinataires de courriers envoyés par ses entreprises clientes (bailleur, laboratoire, hôpital, employeur…). Le risque, désormais, est celui de faux courriers, courriels ou appels qui s'appuieraient sur ces informations réelles.

L'annonce figure dans une déclaration du groupe transmise à l'AFP, rapportée par ICI. L'attaque « a mené à l'exposition des coordonnées (prénom, nom, adresse postale) de 22 millions de personnes, destinataires des entreprises clientes de Maileva », écrit La Poste, qui la situe à la mi-septembre. Maileva « a notifié la Commission nationale de l'informatique et des libertés (CNIL) et déposé une plainte. Une enquête judiciaire est en cours ». Selon le groupe, toutes les entreprises concernées ont été informées « conformément à la réglementation ».

Maileva appartient à Docaposte, la filiale numérique du groupe La Poste. Les PME et les entreprises de taille intermédiaire s'en servent pour envoyer bulletins de paie, recommandés, factures ou convocations d'assemblées générales. La plateforme revendique plus de 70 000 utilisateurs et 180 millions de documents envoyés en 2024.

Ce que La Poste confirme, et qui est concerné

Le vol confirmé porte sur le prénom, le nom et l'adresse postale. La déclaration de La Poste ne cite ni adresse électronique, ni numéro de téléphone, ni coordonnées bancaires, et CNews écrit que les données bancaires n'ont pas été communiquées. Dans une réponse écrite publiée par Cyberattaque.org, Maileva ajoute que « plusieurs milliers d'entreprises clientes » sont concernées. La Poste et Maileva n'ont donné aucun détail technique sur l'intrusion et n'ont désigné aucun auteur. Selon ce site, la confirmation du vol ne permet pas d'établir que l'intégralité des données dérobées a été diffusée publiquement ou vendue.

D'autres éléments circulent, que le groupe n'a pas confirmés. Cyberattaque.org dit avoir obtenu des documents internes attribués à Docaposte qui font état d'environ 39 millions de références de courriers, soit environ 22 millions de personnes une fois les doublons retirés. Le site Enerzine écrit, sans préciser sa source, que l'outil de facturation aurait aussi exposé des IBAN d'entreprises clientes, des montants de factures et les coordonnées de contacts comptables. La déclaration de La Poste ne mentionne pas ces IBAN.

L'affaire a commencé en septembre. Maileva a coupé tous ses services le 23 septembre à 7 h. Dans son message aux clients, révélé le 24 septembre par Cyberattaque.org et FrenchBreaches, elle indiquait que ses investigations avaient confirmé « des tentatives d'accès non autorisé par un cyber criminel afin de procéder à l'envoi illégitime de courriers ». Les services étaient « de nouveau pleinement opérationnels » le 29 septembre, a indiqué Docaposte à Solutions Numériques. Aucune fuite massive n'était alors annoncée.

Pour savoir si vous êtes touché, n'attendez pas de message de Maileva : dans sa réponse à Cyberattaque.org, elle indique que l'information des personnes concernées revient aux « organisations clientes de Maileva ». Selon ce site, chacune apprécie elle-même son obligation de vous prévenir, en fonction de la nature de la violation et des risques identifiés : ne pas avoir reçu de message ne signifie donc pas que vous n'êtes pas concerné. Lors d'une précédente fuite massive, la CNIL a rappelé qu'elle ne peut pas dire si une personne figure dans un fichier volé, et elle déconseille les sites qui prétendent le faire.

Plusieurs organismes ont déjà prévenu leurs usagers, d'après les notifications relevées par Cyberattaque.org : un service de santé au travail en Cornouaille le 9 octobre, des laboratoires du groupe Inovie le 2 novembre, le bailleur Flandre Opale Habitat le 3 novembre, l'Hôpital Foch le 6 novembre, le bailleur Altéal le 9 novembre. Certains messages vont au-delà du nom et de l'adresse. Le service de santé au travail en Cornouaille cite une base de suivi des courriers pouvant comprendre aussi des adresses électroniques et des noms de fichiers. Flandre Opale Habitat indique que les données potentiellement compromises peuvent provenir de courriers des dix dernières années et comprendre des numéros de client et des montants de facture. L'Hôpital Foch indique qu'un pirate a pu consulter des relances de paiement envoyées du 9 au 23 septembre, avec numéros de facture, dates de soins et montants, sans la nature des soins ni coordonnées bancaires.

Un nom et une adresse ne se changent pas comme un mot de passe. Cyberattaque.org évoque de faux courriers, de fausses relances de paiement ou des tentatives d'usurpation d'identité, rendus plus convaincants par des informations exactes ; Enerzine appelle à une vigilance particulière face aux relances et aux demandes de changement de RIB. Pour la CNIL, les deux principaux risques d'une fuite sont l'hameçonnage et l'usurpation d'identité. Elle signale aussi de faux courriels au nom d'une « Ligue de défense des données personnelles » ou d'une « Association de protection des données personnelles », qui proposent aux victimes de faire supprimer leurs données et peuvent citer leur vraie adresse, voire leur IBAN.

Que faire maintenant, étape par étape

Les conseils ci-dessous s'appuient sur le dépliant de la CNIL et de Cybermalveillance.gouv.fr destiné aux victimes de fuites de données, complété par les fiches de ces deux organismes.

1. Gardez le message de l'organisme. Si votre bailleur, votre laboratoire ou votre employeur vous écrit au sujet de Maileva, lisez quelles données sont en cause et conservez ce message : il pourra servir, notamment en cas de plainte ou de demande d'indemnisation.
2. Méfiez-vous des sollicitations inattendues. Ne cliquez pas sur les liens d'un courriel ou d'un SMS inhabituel, alarmant ou trop attrayant, et ne donnez aucune information au téléphone. Un message qui cite votre nom et votre adresse exacts ne prouve pas qu'il vient de La Poste, de votre banque ou de votre bailleur. Passez par le site ou l'application officiels, ou par le numéro que vous connaissez déjà.
3. Vérifiez les courriers papier. Une relance, une facture ou un changement de RIB inattendus se vérifient auprès de l'organisme, par un canal habituel. Ne signez aucun mandat de prélèvement dont l'origine vous paraît douteuse ; si votre banque le permet, limitez les prélèvements à une liste de créanciers autorisés.
4. Surveillez vos comptes. Activez les notifications de paiement, signalez à votre banque toute opération non autorisée et demandez son remboursement, faites opposition à votre carte si nécessaire. Si un organisme vous informe que des données bancaires sont en cause, prévenez votre banque.
5. Sécurisez vos accès. La Poste ne fait état d'aucun mot de passe volé. Si l'un des vôtres a été compromis, changez-le, ainsi que ceux des comptes qui utilisent le même, en commençant par votre messagerie, et activez la double authentification.
6. Signalez les messages frauduleux. Un SMS suspect se transfère gratuitement au 33700, un courriel à Signal Spam, un faux site à Phishing Initiative, selon Cybermalveillance.gouv.fr. Le service 17Cyber, de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, aide à identifier l'arnaque et à la signaler.
7. Portez plainte en cas de fraude. Une usurpation d'identité ou un débit frauduleux justifie une plainte au commissariat ou à la gendarmerie, ou par écrit au procureur de la République. Si l'usurpation est confirmée, demandez à la CNIL une consultation du fichier des comptes bancaires (Ficoba), pour savoir si des comptes ont été ouverts à votre nom.

Côté recours, la CNIL rappelle qu'une fuite ne donne pas automatiquement droit à une indemnisation. Il faut démontrer un manquement au RGPD, un préjudice réel et le lien entre les deux. Une plainte auprès de la CNIL peut conduire à des mesures correctrices ou à une sanction, mais la CNIL n'accorde pas de dommages et intérêts. La demande se fait devant le juge : en principe le tribunal judiciaire lorsqu'une entreprise privée est en cause, le tribunal administratif lorsqu'il s'agit d'une administration ou d'une personne publique. Une association peut, sous conditions, être mandatée, et la loi du 30 avril 2025 a unifié le régime de l'action de groupe, qui couvre la protection des données personnelles. Gardez notifications, courriels, captures d'écran et justificatifs de dépenses.

L'an dernier déjà, une cyberattaque revendiquée par des hackers prorusses avait touché La Poste à quelques jours de Noël. Ces dernières semaines, Crédit Mutuel Arkéa a déclaré avoir été la cible d'une cyberattaque. Selon ICI, France Travail avait subi début 2024 une attaque massive qui exposait les données de 43 millions de personnes à un risque de divulgation.

Photo : Sue Hughes / Unsplash (image d'illustration)

Nos guides pratiques

• Maison à 1 € en Italie : 25 000 à 90 000 € à prévoir au total
• 
  Dinar algérien : taux officiel, marché parallèle et transferts
• 
  Calendrier des impôts 2026 : prélèvement à la source et taxe foncière