La Poste piratée : « 22 millions de personnes sont concernées par le vol » de la filiale Docaposte

Pour la plupart des Français, La Poste évoque d’abord les facteurs et les colis, beaucoup moins sa filiale Docaposte. Avec sa marque Maileva, elle imprime et expédie les factures, les relances et les courriers administratifs de milliers d’entreprises, d’hôpitaux et de bailleurs sociaux.

Le groupe n’en est pas à sa première attaque : ses services en ligne sont tombés juste avant Noël 2025, et en octobre, sa filiale La Poste Mobile a été visée par des hackers prorusses, qui ont saturé ses sites sans intrusion ni vol de données. Cette fois, les pirates sont entrés et ont emporté des données.

Dans un article publié ce vendredi 13 novembre, le site spécialisé Cyberattaque.org rapporte que Maileva lui a confirmé par écrit que « 22 millions de personnes sont concernées par le vol de leurs données d’identification : prénom, nom, adresse postale ». En clair, l’équivalent de près d’un tiers de la population française, et pour une partie de ces personnes, bien plus qu’un nom sur une enveloppe.

Ce chiffre de 22 millions tient déjà compte des doublons : d’après des documents internes attribués à Docaposte et consultés par Cyberattaque.org, la base touchée compte environ 39 millions de références de courriers, une même personne pouvant recevoir plusieurs lettres de plusieurs entreprises. Il porte sur les noms, prénoms et adresses, pas sur le contenu de tous les courriers, qui varie selon chaque client. À ce jour, rien n’établit que ces fichiers ont été diffusés publiquement ou revendus.

Tout a commencé le 23 septembre à 7 heures. Maileva a alors coupé ses services après avoir repéré des tentatives d’accès non autorisées à certains comptes clients, qui servaient visiblement à envoyer des courriers sans l’accord de leurs propriétaires. Les services ont redémarré le 29 septembre, après six jours de coupure, et aucune fuite de données n’était alors évoquée.

Le 9 octobre, un service de santé au travail de Quimper a pourtant reconnu qu’un tiers avait eu accès à une base de suivi des courriers de Maileva. Les notifications de clients se sont ensuite enchaînées en novembre. Maileva parle désormais de « plusieurs milliers d’entreprises clientes » concernées et dit avoir notifié la CNIL et porté plainte (la CNIL est le gendarme français des données personnelles). Une enquête judiciaire est en cours. Pour autant, c’est à chaque client de prévenir les personnes touchées, et aucun bilan ne dit combien l’ont été à ce jour.

Pour situer l’ampleur, France Travail avait signalé à la CNIL en mars 2024 une intrusion susceptible de toucher 43 millions de personnes, avec les numéros de sécurité sociale en plus des noms et des adresses. La fuite de Maileva concerne moins de monde, et des données moins sensibles pour la plupart des victimes, mais elle compte parmi les plus importantes reconnues en France cette année.

Du dossier locatif à la facture d’hôpital

Flandre Opale Habitat est une entreprise sociale pour l’habitat qui gère environ 20 000 logements dans les Hauts-de-France. Chez elle, l’incident peut porter sur dix ans de courriers : noms, adresses postales et e-mail, numéros de client, références du logement et montants de factures. Le bailleur n’a pas dit combien de locataires sont réellement touchés. Altéal, un bailleur de Colomiers (Haute-Garonne) qui gère plus de 14 000 logements en Occitanie, a lui aussi alerté ses locataires ce lundi 9 novembre. Les données en jeu sont plus limitées chez lui : nom, prénom, genre et adresse postale, selon la notice du bailleur. Le réseau de transports IZILO, à Lorient, figure aussi parmi les victimes.

Dans la santé, Inovie est l’un des principaux groupes français de biologie médicale, avec environ 20 % de l’activité privée du secteur. Le groupe a confirmé que des patients de plusieurs de ses laboratoires ont perdu la confidentialité de leur nom, prénom et adresse postale. Aucune donnée de paiement ni aucun mot de passe ne sont concernés, mais Inovie reconnaît ne pas savoir encore quels patients sont touchés.

À Suresnes, l’Hôpital Foch passe par Kiwee, une société de recouvrement de créances médicales, qui fait imprimer et poster ses relances par Maileva. Les relances envoyées entre le 9 et le 23 septembre ont pu être consultées, avec le numéro de facture, la date des soins et le montant à payer. Elles révèlent donc qu’on a été soigné à Foch, une information que l’hôpital juge lui-même sensible.

Foch n’est pas le seul établissement de santé concerné. Dans une réponse écrite à Cyberattaque.org, Kiwee confirme que l’incident a porté sur des courriers adressés aux patients « pour le compte de certains de nos clients, établissements de santé », sans en donner la liste. La société, qui ne travaille avec Maileva que depuis juin 2026, laisse chaque établissement prévenir ses patients. Foch, lui, n’a appris que le 28 octobre que ses relances avaient pu être lues, plus d’un mois après la coupure de Maileva.

Une fausse relance, avec le vrai montant

Les fraudeurs disposent déjà de millions de noms et d’adresses. S’ils y ajoutent le nom du bailleur, un numéro de client et le montant d’une vraie facture, ils peuvent fabriquer une relance très difficile à distinguer de l’originale. L’Hôpital Foch décrit ce scénario : un escroc se fait passer pour l’hôpital, Kiwee, l’Assurance maladie ou une mutuelle, puis envoie une fausse relance ou demande un paiement sur un autre compte. Il peut passer par l’e-mail, le SMS, le téléphone ou le courrier.

Comme les adresses volées sont postales, l’arnaque peut très bien arriver sur papier, dans la boîte aux lettres. Les fichiers volés peuvent en plus être croisés avec d’autres fuites. Début septembre, un pirate se faisant appeler ChimeraZ a ainsi revendiqué la diffusion des noms d’environ 8 000 locataires de La Maison Pour Tous, une coopérative HLM du Jura. Cette affaire est distincte, et aucun lien avec Maileva n’est établi.

Comment savoir si vous êtes concerné, et quels réflexes adopter

Maileva ne contacte pas les particuliers, car c’est à chaque organisme client de prévenir les siens. Consultez donc le site ou l’espace client de votre bailleur, de votre laboratoire ou de l’hôpital où vous avez été soigné. Flandre Opale Habitat, Altéal, les laboratoires Inovie et l’Hôpital Foch ont tous publié une notice. Méfiez-vous de toute relance de paiement ou demande de changement de RIB dans les semaines qui viennent, même si le montant est exact.

En cas de doute, suivez le conseil de Foch : raccrochez et rappelez vous-même l’organisme au numéro habituel, jamais à celui donné dans le message. L’hôpital précise qu’il ne demandera jamais un mot de passe, un code ou des coordonnées bancaires par e-mail, SMS ou téléphone.

Si vous avez déjà payé une fausse relance, l’Hôpital Foch conseille de prévenir immédiatement votre banque et de porter plainte ; si vous avez donné un mot de passe, changez-le tout de suite. L’hôpital renvoie aussi vers le site officiel de l’État Cybermalveillance.gouv.fr.