Maileva (La Poste) confirme le vol des adresses de 22 millions de destinataires de courriers

Le 23 septembre, à 7 heures, Maileva coupe ses services. Le service d'envoi de courriers en ligne de Docaposte, filiale de La Poste, parle alors de tentatives d'accès non autorisé à des comptes clients, destinées à expédier de faux courriers. Sept semaines plus tard, le discours a changé.

Dans une réponse écrite publiée le 13 novembre par le site Cyberattaque.org, Maileva donne elle-même un chiffre : « 22 millions de personnes sont concernées par le vol de leurs données d'identification : prénom, nom, adresse postale ». Ce sont les destinataires de lettres envoyées par « plusieurs milliers d'entreprises clientes ». L'entreprise dit avoir notifié la CNIL (Commission nationale de l'informatique et des libertés) et porté plainte, et une enquête judiciaire est en cours. Jusqu'ici, ce chiffre reposait sur un document interne et n'avait pas été confirmé publiquement, comme nous l'écrivions dans notre premier article sur cette fuite.

De 39 millions de courriers à 22 millions de personnes

Ce document est une fiche de Docaposte datée du 5 octobre, que le site FrenchBreaches a dévoilée le 9 octobre. Elle donne une autre chronologie que la première communication. Un attaquant aurait exploité une faille dans une application de Maileva pour entrer dans son système de production. Les premières activités suspectes remontent au 9 septembre, la détection au 16. La base de suivi des courriers atteinte contient 39 millions de références d'envois. Une fois les doublons retirés, elles correspondent à environ 22 millions de personnes distinctes. Selon les contrats, l'historique peut remonter à dix ans.

Pour les destinataires, la fiche cite la civilité, le nom, le prénom et l'adresse postale. Pour les entreprises clientes, elle mentionne les noms de comptes, les identifiants de connexion, les adresses e-mail et les noms des fichiers envoyés. Elle cite aussi les contacts de facturation, les montants des factures et les IBAN de ces entreprises, conservés dans l'outil de facturation OpenCell. En octobre, Docaposte cherchait encore à établir ce qui avait pu être extrait. Maileva parle désormais de vol. Le vol du contenu complet des lettres, en revanche, n'est pas confirmé.

Certains clients en disent toutefois davantage. Le 6 novembre, l'hôpital Foch, à Suresnes, a prévenu ses patients que des relances de paiement envoyées entre le 9 et le 23 septembre étaient touchées : numéro de facture, date des soins, montant réclamé. Ces lettres passaient par Kiwee.care, son prestataire de recouvrement, qui confiait à Maileva l'impression et l'envoi de certains courriers. Le bailleur social Flandre Opale Habitat évoque, lui, des numéros de client et des montants de factures.

Qui doit vous prévenir ?

Ce n'est pas Maileva. L'entreprise affirme avoir informé toutes les organisations touchées, et c'est à elles d'avertir les personnes concernées. Depuis octobre, quelques-unes l'ont fait publiquement : le service de santé au travail de Cornouaille, le réseau de transport IZILO de Lorient Agglomération, les laboratoires du groupe Inovie, les bailleurs Flandre Opale Habitat et Altéal, et l'hôpital Foch. Face à plusieurs milliers de clients, la liste est courte. Personne ne publie le nombre de personnes réellement prévenues.

Une fausse relance devient très crédible

Un nom et une adresse figurent déjà dans bien des fichiers. Ce qui change ici, c'est le contexte. Un escroc qui sait que vous avez reçu une relance de votre hôpital ou de votre bailleur peut l'imiter. Cyberattaque.org le résume ainsi : « Le principal risque identifié par l'Hôpital Foch concerne désormais la fraude au paiement ».

• Méfiez-vous de toute relance inattendue, par courrier, SMS, e-mail ou téléphone, au nom d'un hôpital, d'un bailleur, d'un laboratoire, de l'Assurance maladie ou d'une mutuelle.
• Ne payez que par les moyens habituels de l'organisme, après avoir vérifié la demande auprès de ses coordonnées officielles, jamais celles indiquées dans le message reçu.
• Si votre entreprise est cliente de Maileva : les IBAN et les contacts de facturation figurent dans le périmètre décrit par Docaposte. Faites confirmer par téléphone, auprès d'un interlocuteur connu, toute demande de changement de coordonnées bancaires. Si Maileva vous a signalé l'incident, il vous revient aussi de prévenir vos destinataires.

Une question reste ouverte : où sont passées ces données ? Selon Cyberattaque.org, rien n'établit à ce stade qu'elles aient été diffusées ou mises en vente, et Maileva ne dit rien de l'identité des auteurs. C'est l'enquête judiciaire qui devra établir qui est entré, et ce qui a été emporté.