Maileva : le vol de données touche 22 millions de personnes, selon La Poste

La Poste a indiqué à l'AFP, le 14 novembre, que sa filiale Maileva, spécialisée dans l'envoi de courrier en ligne, a été victime d'une cyberattaque mi-septembre. Les prénoms, noms et adresses postales de 22 millions de personnes ont été volés, et une enquête judiciaire est en cours.

Une attaque en septembre, un aveu en novembre

Maileva est une filiale du groupe La Poste. Elle revendique plus de 70 000 utilisateurs et 180 millions de documents envoyés en 2024, selon Ouest-France.

Selon franceinfo, La Poste a indiqué à l'AFP que 22 millions de personnes sont concernées par le vol de données. L'attaque remonte à la mi-septembre. Euronews et Cyberattaque.org donnent le même chiffre.

Il s'est donc écoulé près de deux mois entre l'attaque et la confirmation publique du groupe.

Une chronologie encore floue

Les sources consultées ne datent pas l'attaque de la même façon.

9 septembre : d'après FrenchBreaches, une activité suspecte est détectée ce jour-là.
16 septembre : toujours selon FrenchBreaches, l'attaque est détectée.
23 septembre : Morocco World News indique que les services de Maileva ont été suspendus à cette date.
28 septembre : FrenchBreaches affirme que les services redémarrent progressivement à partir de ce jour.

Ces dates ne concordent pas toutes. Elles ne figurent pas dans la communication de La Poste rapportée par les autres médias, qui évoquent seulement la « mi-septembre ». Les éléments de FrenchBreaches proviennent d'un site spécialisé et n'ont pas pu être recoupés avec une autre source. La date de suspension donnée par Morocco World News n'est pas non plus confirmée ailleurs.

Début novembre : les bailleurs sociaux donnent l'alerte

Selon Ouest-France, les bailleurs sociaux Flandre Opale Habitat et Altéal avaient signalé, début novembre, une fuite de données liée à cette attaque. Ces signalements ont donc précédé la confirmation de La Poste.

Cyberattaque.org précise de son côté faire partie des médias qui avaient révélé l'affaire avant l'aveu officiel.

Ce qui a été volé, et ce qui ne l'a pas été

D'après Ouest-France et Euronews, les données exposées sont le prénom, le nom et l'adresse postale. Ces deux médias indiquent que les coordonnées bancaires et les autres informations personnelles ne sont pas concernées.

Les personnes touchées ne sont pas des clients directs de Maileva. Euronews et Cyberattaque.org expliquent qu'il s'agit de destinataires de courriers envoyés par les entreprises clientes de la filiale.

Franceinfo reprend par ailleurs la mention « Des courriers ont pu être lus ». Nous n'avons pas pu consulter le texte complet de cet article. Nous ne pouvons donc pas dire qui tient ce propos ni dans quel cadre. Il faut le lire avec prudence.

FrenchBreaches avance enfin que la base de suivi concernée contiendrait 39 millions de références de courriers. Ce chiffre n'a pas été recoupé.

Les suites : CNIL, plainte et enquête

Selon Ouest-France et Cyberattaque.org, Maileva a notifié la CNIL et déposé plainte. Une enquête judiciaire est en cours. Ouest-France précise qu'elle est confiée à la Brigade cybercriminalité.

Ouest-France présente cette fuite comme l'une des plus importantes en France.

Commentaire. Le volume de personnes concernées s'explique par le métier de Maileva. La filiale gère des envois pour le compte d'entreprises et d'organismes, et ses fichiers contiennent donc les adresses de leurs destinataires. Le simple fait de figurer dans un envoi a suffi pour être touché. Les sources consultées ne disent pas si ces personnes seront prévenues individuellement. Elles ne précisent pas non plus quelles mesures de protection sont recommandées.

Les sources ne mentionnent pas non plus de patients d'hôpitaux parmi les personnes touchées. Elles ne décrivent pas de risque d'hameçonnage ciblé. Le seul secteur cité est celui des bailleurs sociaux, avec Flandre Opale Habitat et Altéal.