France : La Poste confirme le vol des données de 22 millions de personnes, deux mois après l’attaque

La Poste a confirmé, le 14 novembre, le vol des noms, prénoms et adresses postales de 22 millions de personnes après une cyberattaque contre Maileva en septembre. Cette filiale, chargée d’expédier des courriers professionnels, compte parmi ses clients des entreprises, des établissements de santé et des bailleurs sociaux.

La Poste vient de confirmer le vol des noms, prénoms et adresses postales de 22 millions de personnes après une cyberattaque. Un courrier envoyé par un hôpital, un bailleur social ou une entreprise a pu suffire pour exposer les coordonnées de son destinataire. Derrière cette fuite massive de données se trouve Maileva, un service du groupe La Poste qui imprime et expédie les lettres de milliers de sociétés. Les particuliers concernés n’étaient pas nécessairement clients de Maileva. Leurs coordonnées figuraient dans les fichiers des organismes qui leur écrivaient.

Le 23 septembre, Maileva avait suspendu ses services après avoir détecté des tentatives d’accès non autorisé à des comptes clients. Le service avait repris six jours plus tard. Des documents internes attribués à Docaposte, la maison mère de Maileva, font toutefois état d’activités suspectes dès le 9 septembre et d’une base contenant quelque 39 millions de références de courriers. Une fois les doublons retirés, ce volume correspondrait à environ 22 millions de personnes.

Le 13 novembre, le site Cyberattaque.org a obtenu une confirmation écrite de Maileva. La Poste a confirmé le bilan à l’AFP le lendemain. Selon le groupe, les données dérobées concernent les noms, prénoms et adresses postales. Les coordonnées bancaires des particuliers ne font pas partie des informations signalées comme volées.

Maileva affirme avoir prévenu les entreprises clientes touchées, notifié la Commission nationale de l’informatique et des libertés (CNIL) et déposé plainte. Une enquête judiciaire est en cours. Un rapport officiel recensait déjà début octobre 99 violations de données signalées dans les administrations françaises depuis le 1er août.

Des patients et des locataires concernés

Derrière les 22 millions de noms se trouvent notamment des patients et des locataires. L’hôpital Foch, près de Paris, a averti le 6 novembre que certaines relances de paiement adressées à ses patients avaient pu être lues par un pirate. Ces courriers comportaient des numéros de facture, des dates de soins et des montants réclamés. Des bailleurs sociaux et des laboratoires médicaux ont également alerté leurs usagers.

Dans une analyse publiée le 13 novembre, Frédéric Lenquette, consultant en cybersécurité chez Orange Cyberdefense, met en garde contre les escroqueries ciblées : « Ce qui change ici, c'est le contexte. Un escroc qui sait que vous avez reçu une relance de votre hôpital ou de votre bailleur peut l'imiter. »

Maileva assure avoir informé les entreprises concernées. Mais aucun bilan public ne précise combien des 22 millions de destinataires ont, à leur tour, été avertis.