Une cyberattaque d’une ampleur exceptionnelle a frappé l’écosystème numérique de La Poste. Après près de deux mois d’enquête, Cyberattaque.org a obtenu la confirmation officielle du vol des données personnelles de 22 millions de personnes chez Maileva, une marque de Docaposte, filiale du groupe La Poste faisant ainsi de cette fuite l’une des plus importante fuite de données en France. Noms, prénoms et adresses postales ont été dérobés. Plusieurs milliers d’entreprises clientes sont également concernées, notamment dans les secteurs du logement social, de la santé et des services publics.
Cette révélation intervient après plusieurs semaines d’investigations menées par notre rédaction, la découverte progressive d’organisations touchées, des échanges directs avec plusieurs entreprises et l’obtention de documents internes confidentiels faisant apparaître des dizaines de millions de références de courriers.
Au départ, l’incident semblait principalement concerner des tentatives de détournement d’un service d’expédition de courriers. Il s’agit désormais de l’une des plus importantes fuites de données personnelles confirmées en France en 2026, avec un volume équivalent à près d’un tiers de la population française.
23 septembre 2026 : Maileva interrompt brutalement ses services
L’histoire commence le 23 septembre 2026, à 7 heures du matin. Maileva, une marque de Docaposte spécialisée dans l’impression, l’envoi et la gestion de courriers professionnels, suspend préventivement l’ensemble de ses services après la détection d’activités informatiques suspectes.
La plateforme est utilisée par des entreprises privées, des établissements publics, des organismes de santé et des administrations pour expédier des courriers, des factures, des relances de paiement ou encore des documents administratifs parfois confidentiels.
Le lendemain, le 24 septembre, Cyberattaque.org révèle l’attaque après avoir obtenu une communication adressée aux clients de Maileva.
Dans ce premier message, l’entreprise reconnaît des tentatives d’accès non autorisées à certains comptes clients. Le cybercriminel cherchait notamment à exploiter la plateforme pour expédier frauduleusement des courriers sans l’autorisation de leurs véritables expéditeurs.
Maileva explique avoir bloqué les comptes concernés, interrompu ses services et déposé plainte. Les investigations se poursuivent alors pour identifier les circonstances de l’incident.
À cette époque, aucune fuite massive de données personnelles n’est annoncée. La communication de l’entreprise porte essentiellement sur la compromission potentielle de comptes et les tentatives d’envois frauduleux. Elle ne permet pas pour autant d’exclure un accès à d’autres informations.
L’incident provoque une interruption de six jours. Le 29 septembre, Docaposte confirme à la presse spécialisée que les services de Maileva sont de nouveau pleinement opérationnels.
La plateforme a redémarré. Mais les conséquences de l’attaque commencent seulement à apparaître.
9 octobre : les premières confirmations d’une fuite de données
Le 9 octobre 2026, le Service de prévention et de santé au travail en Cornouaille publie une communication officielle qui apporte un éclairage très différent sur la cyberattaque.
L’organisme confirme qu’un tiers non autorisé a pu accéder à une base de suivi des courriers de Maileva, contenant des informations personnelles sur les expéditeurs et les destinataires.
Les données concernées peuvent comprendre les noms, prénoms, civilités, adresses postales, adresses électroniques et identifiants des expéditeurs. La base contenait également les noms des fichiers associés aux courriers.
Cette dernière information est particulièrement sensible dans le secteur médical. Le nom d’un document ou le contexte de son expédition peut parfois révéler indirectement une situation de santé ou un suivi professionnel.
L’organisme précise toutefois ne pas disposer d’éléments établissant que le contenu intégral de ses propres courriers a été consulté ou extrait.
Une autre confirmation apparaît dans le secteur des transports. IZILO, le réseau de mobilité de Lorient Agglomération, reconnaît que la cyberattaque de Maileva a entraîné un accès non autorisé à certaines données personnelles de ses usagers.
Le réseau cite notamment les civilités, noms, prénoms, adresses postales et noms de fichiers associés aux envois. Les coordonnées bancaires ne sont pas concernées par cet incident, selon sa communication.
Ces premières notifications confirment que l’attaque ne s’est pas limitée à des tentatives d’utilisation frauduleuse de comptes Maileva. Des informations appartenant aux clients de la plateforme ont également perdu leur confidentialité.
Les bailleurs sociaux découvrent à leur tour les conséquences de la cyberattaque
Début novembre, Cyberattaque.org identifie de nouvelles communications officielles provenant du secteur du logement social.
Le 3 novembre 2026, Flandre Opale Habitat, un important bailleur social implanté dans les Hauts-de-France, informe ses locataires d’un incident chez Maileva susceptible d’avoir exposé certaines de leurs informations personnelles.
L’organisme gère environ 20 000 logements répartis sur 259 communes. Sa communication fait apparaître un élément particulièrement préoccupant : les informations concernées peuvent provenir de courriers expédiés au cours des dix dernières années.
Selon le bailleur, les données potentiellement compromises comprennent les identités et coordonnées des locataires, leurs numéros de client, des informations sur leur logement et certains éléments administratifs ou financiers, comme des montants de facture.
Le nombre exact de locataires concernés n’est pas communiqué et rien ne permet d’affirmer que l’ensemble de son parc immobilier est touché. Cyberattaque.org a consacré une enquête à cette exposition potentielle de courriers sur dix ans.
Quelques jours plus tard, le 9 novembre, Altéal publie une notification similaire. Ce bailleur social implanté en Occitanie, qui gère plus de 14 000 logements, confirme qu’un incident de sécurité chez Maileva pourrait avoir compromis la confidentialité de certaines informations personnelles de ses clients.
Là encore, le nombre de personnes effectivement concernées n’est pas communiqué. Notre rédaction a également détaillé cette confirmation.
Ces deux organismes ne constituent pas nécessairement une liste exhaustive des bailleurs sociaux touchés. Ils représentent les cas publiquement identifiés dans le cadre de nos recherches.
Les risques sont particulièrement concrets : lorsqu’un cybercriminel dispose d’informations sur un logement, une facture ou une relation locative, il peut fabriquer des demandes de paiement frauduleuses beaucoup plus crédibles.
Des patients de laboratoires médicaux également concernés
L’enquête prend ensuite une autre dimension lorsque les premières alertes concernant le secteur médical apparaissent.
Le 2 novembre 2026, le laboratoire Novabio diffuse une communication confirmant une perte de confidentialité de données personnelles concernant certains patients de plusieurs laboratoires du groupe Inovie, à la suite de la cyberattaque de Maileva.
Inovie représente l’un des principaux réseaux français de biologie médicale. Il regroupe de nombreux laboratoires de proximité intervenant dans les analyses médicales, les diagnostics et les dépistages.
Les recherches menées par Cyberattaque.org permettent de retrouver une notification concernant Maileva sur les sites de plusieurs entités du réseau, notamment Inovie AXBIO, BioMedilab, Biofusion, CBM, GEN-BIO, Biopyrénées et Labosud.
Les informations dont la confidentialité a été compromise comprennent les noms, prénoms et adresses postales de patients. Les communications précisent que les données de paiement et les mots de passe ne sont pas concernés par cet incident.
Le groupe reconnaît ne pas être en mesure d’établir précisément la liste des patients potentiellement concernés. La diffusion d’un message commun sur plusieurs sites ne signifie pas que tous les laboratoires de ces réseaux, ni l’ensemble de leurs patients, ont été affectés.
Cyberattaque.org a détaillé la fuite Inovie dans une précédente enquête.
Ces confirmations mettent en évidence un problème important : des informations relatives à des patients peuvent être exposées lors d’une cyberattaque contre un prestataire d’expédition de courriers, sans que les systèmes informatiques des laboratoires aient eux-mêmes été compromis.
Hôpital Foch : des informations relatives aux soins et aux factures exposées
Le 6 novembre 2026, une nouvelle notification officielle révèle des conséquences potentiellement plus sensibles.
L’Hôpital Foch, situé à Suresnes, dans les Hauts-de-Seine, informe ses patients qu’un pirate informatique a pu consulter le contenu de certains courriers de relance de paiement à la suite de la cyberattaque de Maileva.
L’établissement précise avoir été informé de cette situation le 28 octobre. Les documents concernés correspondent à des relances expédiées entre le 9 et le 23 septembre 2026.
Contrairement aux seules données d’identification évoquées dans plusieurs autres notifications, ces courriers contiennent également des numéros de facture, des dates de soins et des montants à payer.
Les documents ne mentionnent pas la nature exacte des soins ni les coordonnées bancaires des patients. Ils peuvent néanmoins révéler qu’une personne a été soignée dans cet établissement, à une date donnée, et qu’une somme lui était réclamée.
Dans notre article, nous expliquions notamment comment ces informations pourraient être exploitées dans des tentatives de fraude au paiement particulièrement crédibles.
Mais cette découverte permet surtout de remonter une chaîne de sous-traitance jusqu’alors peu visible.
Kiwee.care : Cyberattaque.org remonte jusqu’aux prestataires des hôpitaux français
Pour expédier certaines relances de paiement à ses patients, l’Hôpital Foch utilise les services de Kiwee.care, une entreprise spécialisée dans le recouvrement amiable et la gestion des créances médicales.
Cette société intervient auprès de nombreux acteurs du secteur de la santé. Elle met en avant des références parmi les établissements hospitaliers, les cliniques, les laboratoires et les professionnels de santé français.
Son activité consiste notamment à accompagner les établissements dans la gestion des factures, des paiements et des relances adressées aux patients. Pour certaines prestations, Kiwee.care utilise ensuite Maileva afin d’assurer l’impression et l’expédition des courriers.
Ce fonctionnement fait apparaître plusieurs niveaux de sous-traitance : un hôpital peut transmettre des informations à Kiwee.care, qui confie ensuite l’envoi de certains documents à Maileva.
La cyberattaque d’un seul prestataire peut ainsi avoir des conséquences sur les données de patients provenant de plusieurs établissements, y compris lorsque ceux-ci ne disposent pas d’une relation contractuelle directe avec l’entreprise piratée.
Pour déterminer si d’autres établissements étaient concernés, Cyberattaque.org a contacté directement Kiwee.care.
Dans une réponse écrite adressée à notre rédaction, l’entreprise confirme que l’incident de sécurité chez Maileva a notamment porté sur des données relatives à des courriers adressés aux patients pour le compte de certains de ses clients, établissements de santé.
« Nous vous confirmons que l’incident de sécurité survenu chez notre prestataire Maileva (groupe Docaposte) a notamment porté sur des données relatives à des courriers adressés aux patients pour le compte de certains de nos clients, établissements de santé. »
Kiwee.care précise ne travailler avec Maileva que depuis juin 2026 et insiste sur le fait que seule une partie de ses clients est concernée, selon les prestations utilisées.
L’entreprise indique avoir pris les mesures nécessaires dès qu’elle a été informée et accompagné les établissements concernés dans l’analyse de l’incident et l’information de leurs patients.
Elle rappelle également intervenir en qualité de sous-traitant au sens du RGPD, les établissements de santé restant responsables du traitement des données personnelles de leurs patients. Pour cette raison, Kiwee.care préfère laisser chaque établissement communiquer individuellement sur sa situation.
Cette réponse confirme que le problème ne se limite pas au seul Hôpital Foch. D’autres établissements de santé clients de Kiwee.care sont concernés par les conséquences de l’incident chez Maileva, sans que leur nombre exact soit communiqué.
En revanche, rien ne permet d’affirmer que l’ensemble des établissements figurant parmi les références commerciales de Kiwee.care ont été touchés. L’entreprise n’a pas communiqué de liste nominative des établissements concernés.
Des documents internes confidentiels dévoilent des chiffres vertigineux
Depuis les premières révélations du 24 septembre, Cyberattaque.org poursuit ses recherches afin de comprendre l’ampleur réelle de la cyberattaque.
Au cours de ses investigations, notre rédaction a obtenu des documents internes confidentiels attribués à Docaposte, contenant des informations sur le périmètre de l’incident et les volumes de données susceptibles d’avoir été compromis.
Ces documents font notamment apparaître un volume d’environ 39 millions de références de courriers, correspondant, après déduplication, à environ 22 millions de personnes distinctes.
Cette distinction est essentielle. Une personne ayant reçu plusieurs courriers, parfois de différentes entreprises, peut apparaître de nombreuses fois dans les informations traitées par Maileva. Le volume total de références ne correspond donc pas au nombre de victimes distinctes.
Ces éléments interrogent également sur l’ancienneté de certaines informations conservées. Le cas de Flandre Opale Habitat, qui évoque des courriers remontant jusqu’à dix ans, montre que les conséquences de l’incident ne se limitent pas nécessairement aux correspondances les plus récentes.
Mais une question majeure demeurait : ces 22 millions de personnes correspondaient-elles uniquement à un périmètre potentiellement accessible, ou à des données effectivement volées ?
Pour lever cette incertitude, Cyberattaque.org a directement interrogé Maileva sur le nombre de personnes concernées, les informations dérobées et le volume d’entreprises clientes impliquées.
EXCLUSIF : Maileva confirme le vol des données de 22 millions de personnes
Après plusieurs semaines d’investigations, Cyberattaque.org a finalement obtenu une confirmation écrite de Maileva. Le vol des données d’identification de 22 millions de personnes est officiellement reconnu par l’entreprise.
Dans sa réponse à notre rédaction, Maileva confirme explicitement :
« 22 millions de personnes sont concernées par le vol de leurs données d’identification : prénom, nom, adresse postale. Plusieurs milliers d’entreprises clientes de Maileva sont concernées par cet incident. »
Cette réponse constitue un tournant majeur dans l’affaire.
Jusqu’à présent, les informations disponibles permettaient de confirmer des accès non autorisés, des pertes de confidentialité et des risques concernant le contenu de certains courriers. Le nombre total de personnes concernées restait difficile à établir publiquement.
Cette fois, Maileva parle expressément de vol de données et confirme le chiffre de 22 millions de personnes.
Autre information importante : plusieurs milliers d’entreprises clientes sont concernées. Les bailleurs sociaux, les laboratoires, les établissements de santé et les autres organismes ayant publié des notifications ne représentent donc qu’une fraction des organisations impliquées.
Rapporté à la population française, le nombre de personnes touchées représente l’équivalent de près d’un habitant sur trois. Il s’agit de l’une des plus importantes fuites de données officiellement reconnues en France au cours de l’année 2026.
Il convient néanmoins de distinguer les catégories d’informations : le bilan de 22 millions de personnes communiqué par Maileva porte sur les noms, prénoms et adresses postales. Il ne signifie pas que le contenu intégral des courriers de ces 22 millions de personnes a été dérobé.
Comme le montrent les notifications des organismes clients, des informations complémentaires peuvent être concernées selon les prestations utilisées et les documents effectivement accessibles.
Plusieurs milliers d’entreprises informées, mais combien de Français prévenus ?
Dans sa réponse exclusive à Cyberattaque.org, Maileva apporte également des précisions sur les démarches entreprises auprès de ses clients et des autorités.
L’entreprise indique que toutes les organisations concernées par l’incident ont été informées, conformément à la réglementation.
« Conformément à la réglementation, toutes les organisations concernées ont été informées de l’incident par Maileva. L’information des personnes concernées relèvent des organisations clientes de Maileva. La nature des informations concernées relève des organisations clientes de Maileva. »
Autrement dit, Maileva informe ses entreprises clientes, qui doivent ensuite apprécier leurs propres obligations d’information des personnes concernées en fonction de la nature de la violation et des risques identifiés.
Ce fonctionnement explique pourquoi les notifications apparaissent progressivement, parfois plusieurs semaines après la découverte de l’incident.
Un patient peut être informé par son laboratoire ou son hôpital. Un locataire peut découvrir l’incident par l’intermédiaire de son bailleur social. Un usager des transports peut recevoir une notification de son réseau de mobilité.
Ces organisations peuvent toutes être concernées par le même prestataire, sans que leurs clients ou usagers aient connaissance de l’ampleur globale de la cyberattaque.
Une question demeure cependant sans réponse : combien de personnes, parmi les 22 millions concernées par le vol de leurs données, ont réellement été informées à ce jour ?
La réponse transmise par Maileva ne contient aucun bilan consolidé des notifications individuelles effectuées par ses entreprises clientes.
La CNIL notifiée et une enquête judiciaire en cours
Maileva confirme également avoir effectué les démarches nécessaires auprès des autorités.
« Maileva a notifié la Commission nationale de l’informatique et des libertés (CNIL) et déposé une plainte. Une enquête judiciaire est en cours. »
L’entreprise ne précise pas dans sa réponse les circonstances techniques détaillées de l’intrusion ni l’identité de ses auteurs.
La confirmation du vol des données ne permet pas non plus d’établir que l’intégralité des informations dérobées a été diffusée publiquement ou commercialisée sur des plateformes clandestines.
L’enquête judiciaire devra notamment permettre de déterminer les méthodes utilisées par les attaquants, le périmètre exact des systèmes compromis et les conséquences de cette violation massive de données personnelles.
Une des plus importantes fuites de données de l’année en France
Avec 22 millions de personnes concernées et plusieurs milliers d’entreprises clientes impliquées, la cyberattaque de Maileva prend désormais une dimension nationale.
L’affaire dépasse très largement le fonctionnement d’une plateforme d’envoi de courriers. Elle révèle à quel point les données personnelles des Français peuvent être concentrées chez des prestataires communs, parfois invisibles pour les personnes dont les informations sont traitées.
Des organismes de logement social, des laboratoires de biologie médicale, des établissements hospitaliers, des réseaux de transports et de nombreuses autres entreprises confient des informations à Maileva pour leurs besoins administratifs.
Les conséquences d’une intrusion dans cet environnement peuvent donc se répercuter sur un nombre considérable d’organisations, sans que leurs systèmes informatiques aient été directement piratés.
Le danger ne se limite pas au vol d’adresses postales. Selon les données supplémentaires compromises chez certaines entreprises clientes, les cybercriminels pourraient disposer d’informations permettant de fabriquer de faux courriers, de fausses relances de paiement ou des tentatives d’usurpation d’identité particulièrement convaincantes.
Près de deux mois après l’interruption initiale de Maileva, le bilan officiellement confirmé correspond désormais à l’ampleur que laissaient entrevoir les documents internes obtenus au cours de notre enquête.
22 millions de personnes, plusieurs milliers d’entreprises clientes et des données d’identification dérobées : c’est le bilan confirmé à Cyberattaque.org par une entreprise appartenant à l’écosystème de La Poste.
Source originale : Cyberattaque.org.
