Cyberattaque Maileva : les coordonnées de 22 millions de personnes volées

Maileva, qui relève de Docaposte au sein du groupe La Poste, traite des courriers professionnels pour des entreprises et des organismes publics. Elle intervient notamment dans l’impression et l’expédition de factures, de relances et de documents administratifs. Les personnes comptabilisées sont des destinataires de ces envois. Elles peuvent donc être concernées sans avoir ouvert de compte chez Maileva.

La cyberattaque Maileva remonte à septembre

Maileva a suspendu ses services le 23 septembre après avoir détecté une activité suspecte. La plateforme a repris son activité le 29 septembre. Le 13 novembre, Maileva a confirmé par écrit à la presse spécialisée le vol des données d’identification. Le lendemain, La Poste a confirmé le chiffre à l’AFP. Le groupe indique que Maileva a informé les organisations concernées, notifié la CNIL et déposé plainte. Une enquête judiciaire est en cours.

La reprise des envois, fin septembre, a rétabli le service pour les clients. L’identification des personnes dont les données ont été touchées s’est poursuivie après cette date. Le bilan communiqué mi-novembre chiffre le nombre de destinataires concernés par le vol de coordonnées.

Le contenu de certains courriers a aussi pu être consulté

Le bilan de 22 millions porte sur les noms, prénoms et adresses postales. Pour certains clients, le périmètre est plus large. L’hôpital Foch a publié un avis à ses patients sur des relances de paiement envoyées entre le 9 et le 23 septembre. L’établissement indique qu’un tiers a pu consulter leur contenu, qui comprenait un numéro de facture, une date de soins et un montant à payer.

Ce cas illustre l’écart entre le bilan global et la situation propre à chaque expéditeur. Les informations concernées dépendent du contenu des envois et des fichiers auxquels le tiers a pu accéder. Pour les destinataires, une demande de règlement reçue par courrier mérite donc d’être vérifiée auprès de l’organisme, en utilisant ses coordonnées habituelles. Business Times avait examiné ce risque de fraude après la fuite de données de l’ASP.

Pour les entreprises clientes, identifier les envois concernés

Une organisation qui reçoit un avis de son prestataire doit établir quelles données lui appartiennent, quels destinataires sont concernés et quel risque ils encourent. Cette analyse suppose de faire correspondre les informations reçues du prestataire avec les historiques d’envoi. Elle devient plus complexe quand plusieurs entreprises interviennent dans la préparation, l’impression et l’expédition. Le même enjeu se retrouve dans d’autres fuites de données recensées en France.

La CNIL rappelle les obligations en cas de violation de données personnelles. Le sous-traitant alerte le responsable du traitement dans les meilleurs délais. Celui-ci évalue le risque et, lorsqu’une notification à la CNIL est requise, la transmet si possible dans les 72 heures suivant la prise de connaissance de la violation. Lorsque le risque est élevé, il doit en principe informer les personnes concernées. La Poste dit que les organisations clientes concernées ont été averties. Le nombre de destinataires qui ont reçu un avis individuel reste inconnu.