Maileva (La Poste) : comptes clients visés par un cybercriminel, puis violation de données notifiée aux clients

Le 23 septembre 2026 à 7 heures, Maileva, le service d’envoi dématérialisé de courriers et de lettres recommandées de Docaposte (groupe La Poste), a suspendu l’ensemble de sa plateforme après avoir détecté des tentatives d’accès non autorisé à des comptes clients, menées par un cybercriminel pour envoyer des courriers de façon illégitime. L’incident a été révélé le 24 septembre par Cyberattaque.org et FrenchBreaches, qui s’appuyaient sur le courriel adressé par Maileva à ses clients : l’entreprise y annonçait le blocage des comptes concernés, un dépôt de plainte et l’absence d’envoi frauduleux depuis l’espace client ou l’API des clients ainsi informés. Le 29 septembre, Docaposte a indiqué que les services étaient de nouveau pleinement opérationnels, que l’arrêt avait concerné l’ensemble des clients et que les investigations n’avaient pas, à ce stade, apporté de nouveaux éléments.

Pendant plus d’une semaine, la presse a présenté l’affaire comme un détournement de plateforme sans fuite de données : LeMagIT relevait le 25 septembre qu’aucune fuite n’avait été annoncée, et Solutions Numériques notait le 30 septembre que le cas se distinguait d’une fuite classique. Le 6 octobre, Bonjour la fuite a inscrit l’incident comme confirmé en publiant la capture d’un courriel de Maileva à ses clients, dont la date d’envoi n’est pas lisible. L’entreprise y indique qu’après échange avec la CNIL elle leur notifie une violation de données, détaillée dans une fiche de notification RGPD confidentielle, qu’elle a effectué une déclaration initiale auprès de la CNIL le 23 septembre à 18 heures et qu’une notification complémentaire suivra dans les prochains jours. Ce courriel reste à ce jour la seule trace publique de la violation : aucun média, aucune publication de la CNIL ni aucun communiqué de La Poste ou de Docaposte ne la reprend à notre connaissance, et l’authenticité de la capture ne peut être vérifiée de façon indépendante.

La liste des données concernées n’apparaît pas dans la partie visible de ce courriel. Bonjour la fuite mentionne les nom et prénom, l’adresse postale, l’adresse électronique, l’identifiant de connexion, le suivi des courriers, l’IBAN, les factures ainsi que les émetteurs et destinataires des courriers, mais cette énumération n’est reprise par aucune autre source et doit se lire au conditionnel. Elle ne dit pas si les données ont été extraites ou seulement consultées via les comptes compromis, et ne mentionne ni mot de passe ni contenu de courrier. Si elle se confirmait, elle exposerait à des fraudes au contexte, car de vraies factures et de vrais échanges entre émetteurs et destinataires permettent de fabriquer de faux messages ou de faux changements de coordonnées bancaires très crédibles, ainsi qu’à des prélèvements SEPA frauduleux si des IBAN étaient exposés. Une interrogation demeure sur le périmètre : les destinataires de courriers, souvent des particuliers sans relation contractuelle avec Maileva, figurent-ils parmi les personnes concernées, ou seuls les clients professionnels et leurs utilisateurs le sont-ils ? Aucune source consultée ne permet de trancher.

Maileva a bloqué les comptes concernés, interrompu puis rouvert son service, déposé plainte et déclaré l’incident à la CNIL. Elle indique agir en qualité de responsable de traitement et précise que sa déclaration peut faire foi pour l’ensemble de ses clients, qui peuvent lui demander d’être inclus dans une transmission groupée ou notifier eux-mêmes la CNIL en citant son numéro de notification, la CNIL rappelant que l’information des personnes concernées doit tenir compte de la sensibilité des données divulguées. Le nombre de comptes visés et le mode opératoire restent inconnus. Cet incident ne doit pas être confondu avec la fuite touchant la Région Hauts-de-France via deux prestataires, dont Docaposte, annoncée le 3 octobre : aucune source consultée ne relie les deux affaires.

Les clients de Maileva ont intérêt à contrôler l’historique des envois et l’activité de leur compte, à changer leur mot de passe, à activer une double authentification si elle est proposée, puis à demander la fiche de notification afin d’évaluer leurs propres obligations de notification. Tout courrier, courriel ou lettre recommandée électronique inattendu se réclamant de Maileva ou d’un fournisseur appelle la prudence, et toute demande de paiement, nouvelle facture ou changement de coordonnées bancaires doit être vérifiée par un canal déjà connu, jamais à partir des coordonnées figurant dans le message. Si un IBAN a pu être exposé, il convient de surveiller ses relevés, de vérifier la liste des créanciers autorisés et de contester auprès de sa banque tout prélèvement non autorisé, possible pendant 13 mois.