Le piratage de Maileva, le courrier en ligne de La Poste, touche des patients de laboratoires

Le 23 septembre 2026, à 7 heures, Maileva coupe tout. Cette marque de Docaposte, filiale du groupe La Poste, permet aux entreprises et aux organismes d'envoyer leurs lettres et leurs recommandés depuis un ordinateur. Elle vient de détecter des tentatives d'accès non autorisé à des comptes clients. Selon Docaposte, le cybercriminel cherchait à envoyer des courriers illégitimes. Le 29 septembre, les services de Maileva sont « de nouveau pleinement opérationnels », indique le groupe. À ce moment-là, personne ne parle de fuite de données.

Cinq semaines plus tard, le tableau a changé. Le 2 novembre, le groupe de laboratoires d'analyses médicales Inovie publie un avis : des patients de plusieurs de ses laboratoires sont concernés par une fuite de données chez Maileva, son prestataire d'envoi de courrier. Le 3 novembre, Flandre Opale Habitat, bailleur social de la région de Dunkerque, prévient à son tour ses locataires. Les sites spécialisés Fuites Infos et Cyberattaque.org ont recensé ces avis le 5 novembre.

Qu'a pu voir l'intrus ?

Un client a été l'un des premiers à donner des détails. Dans un avis daté du 9 octobre, un service de santé au travail de Quimper écrit que le système d'information de Maileva « a fait l'objet d'une cyberattaque ». Elle a permis à un tiers non autorisé d'accéder à une base de suivi des courriers. Pour les expéditeurs : nom, prénom, identifiant et adresse e-mail. Pour les destinataires : nom, prénom, civilité et adresse postale. S'y ajoutent les noms des fichiers associés aux envois. Le service dit n'avoir aucun élément montrant que le contenu des documents a été consulté ou extrait. Maileva n'a constaté ni modification ni destruction de données.

Les avis de novembre vont dans le même sens. Inovie évoque les noms, prénoms et adresses postales de certains patients, et assure qu'aucune donnée de paiement ni aucun mot de passe n'est concerné. Il ne dit rien, en revanche, des données de santé ni du contenu des courriers, et n'avance aucun nombre de personnes. Selon Fuites Infos, Flandre Opale Habitat indique que l'incident a pu donner accès à des données figurant dans les courriers envoyés au cours des dix dernières années, comme un numéro client ou un montant de facture, et qu'il a prévenu la CNIL. Le bailleur précise, selon Cyberattaque.org, que les informations concernées ne sont pas nécessairement toutes compromises.

Un nom de fichier peut en dire long

Combien de personnes sont concernées ? Ni Maileva ni La Poste n'ont publié de chiffre. Le site FrenchBreaches affirme toutefois, en citant une fiche de Docaposte datée du 5 octobre, qu'une faille applicative aurait été exploitée et que 22 millions de personnes distinctes seraient concernées ; ce chiffre n'a pas été confirmé publiquement. Un nom et une adresse peuvent sembler peu de chose. Mais quand l'expéditeur est un laboratoire d'analyses ou un service de médecine du travail, ce n'est pas anodin. Le service de Quimper le reconnaît lui-même : la nature du courrier ou le nom du fichier peuvent révéler indirectement des informations sur la santé ou le suivi professionnel d'une personne.

Les bons réflexes face aux faux courriers

Nul besoin d'avoir un compte Maileva pour être concerné : il suffit d'avoir reçu une lettre d'un organisme qui passait par ce service. Le principal risque est l'arnaque crédible, par courrier, e-mail ou téléphone, qui cite votre laboratoire, votre bailleur ou votre suivi médical.

• Ne communiquez jamais de coordonnées bancaires, d'identifiants ou de mots de passe en réponse à une demande que vous n'avez pas sollicitée, même si elle mentionne votre dossier.
• En cas de doute, rappelez l'organisme au numéro qui figure sur vos documents habituels, jamais à celui du message reçu.
• Méfiez-vous des faux avis de changement d'IBAN et des fausses factures : c'est précisément ce que permettrait un faux courrier d'apparence officielle.
• Les victimes d'arnaque trouvent une aide gratuite sur cybermalveillance.gouv.fr.

Pour les entreprises clientes de Maileva, la question est plus large : quels courriers ont transité par la plateforme, parfois sur dix ans comme chez Flandre Opale Habitat, et faut-il prévenir leurs destinataires ? D'autres avis pourraient suivre. Comme pour les assurés de Malakoff Humanis, touchés via un prestataire attaqué en août, c'est souvent par ricochet que les personnes concernées l'apprennent.

Mise à jour du 12 novembre 2026

Deux autres clients de Maileva, le service de courrier en ligne de Docaposte (groupe La Poste), ont prévenu leurs usagers. Le 6 novembre, l'Hôpital Foch, à Suresnes, a publié une note pour les patients qui ont reçu une relance de paiement entre le 9 et le 23 septembre 2026. Ces courriers, que Maileva imprime et poste pour le compte de la société Kiwee, comportent le nom, le prénom, l'adresse postale, le numéro et le montant de la facture, ainsi que la date des soins, selon Fuites Infos. Ils ne mentionnent ni la nature des soins ni de coordonnées bancaires. Leur contenu a pu être consulté, mais l'hôpital ne dit pas qu'il a été copié ou diffusé. Il a déclaré l'incident à la CNIL et ne donne pas le nombre de patients concernés.

Le 9 novembre, Altéal, un bailleur social de Colomiers, près de Toulouse, qui gère environ 14 000 logements en Occitanie, a indiqué à son tour que l'incident survenu chez Maileva est susceptible d'avoir compromis la confidentialité de certaines informations personnelles de ses locataires. Selon Cyberattaque.org, son alerte en ligne ne précise pas le nombre de locataires concernés.

Selon le recensement du site Ostraca, mis à jour le 9 novembre, ni Maileva ni La Poste n'ont, à sa connaissance, publié de communiqué sur ces données.