En septembre 2026, la plateforme d’envoi de courriers Maileva (Docaposte, groupe La Poste) a été compromise ; depuis début novembre, plusieurs de ses clients, directs ou indirects, notifient une exposition de données. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité. Le mode d’intrusion n’est pas public : nous nous concentrons sur ce qui est documenté, la chaîne de sous-traitance et les enseignements pour la gestion des fournisseurs.
Pour une lecture orientée dirigeant, voir notre décryptage « Courriers piratés chez Maileva : quand le prestataire de votre prestataire expose vos clients ».
Contexte
- Victime directe : Maileva, service de dématérialisation, d’impression et d’envoi de courriers pour les professionnels.
- Chronologie : 23 septembre 2026, coupure de la plateforme après la détection de tentatives d’accès non autorisées à des comptes clients, avec un objectif apparent d’envoi de courriers illégitimes ; reprise après environ six jours ; plainte déposée (Solutions Numériques). Début octobre, un service de santé au travail indique qu’un tiers a accédé à une base de suivi des courriers. Novembre : notifications de Flandre Opale Habitat (3 novembre), du groupe de laboratoires Inovie (5 novembre), de l’Hôpital Foch (6 novembre) et d’Altéal (9 novembre), selon Cyberattaque.org.
- Chaîne documentée (Hôpital Foch) : responsable de traitement (hôpital) → sous-traitant de rang 1 (Kiwee, recouvrement amiable) → sous-traitant de rang 2 (Maileva, impression et envoi). L’hôpital a été informé le 28 octobre, soit environ cinq semaines après la détection chez Maileva (Hôpital Foch, 6 novembre 2026).
- Données (Hôpital Foch) : identité, adresse, numéro de facture, date des soins, montant ; ni nature des soins ni coordonnées bancaires, mais révélation implicite d’une prise en charge. Selon Cyberattaque.org, un bailleur évoque des courriers sur dix ans ; Inovie, des noms et adresses de patients.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Tentatives d’accès non autorisées à des comptes clients ; une « faille » ensuite corrigée est mentionnée par l’hôpital. Vecteur exact non publié. | T1078 Valid Accounts ou T1190 Exploit Public-Facing Application (hypothèses non confirmées) |
| Objectif initial apparent | Utiliser la plateforme pour expédier des courriers au nom des clients. | Hors ATT&CK (fraude) ; préparation possible d’hameçonnage par voie postale |
| Collecte | Base de suivi des courriers (destinataires, informations d’envoi) et, pour certains clients, contenu des courriers. | T1213 Data from Information Repositories ; T1530 Data from Cloud Storage (hypothèse) |
| Exfiltration | Non confirmée : les notifications parlent de données « consultées » ou « pouvant avoir été consultées ». | T1567 ou T1041 (non documenté) |
| Exploitation en aval | Risque de fausses relances ou de demandes de changement de RIB s’appuyant sur de vraies références. | Ingénierie sociale contre les clients finaux (hors périmètre de l’intrusion) |
Faits techniques connus
- Le périmètre exposé varie selon les clients et les services utilisés : métadonnées d’envoi pour certains, contenu des courriers pour d’autres.
- Maileva a, selon l’hôpital, corrigé la faille, renforcé sa sécurité, prévenu les autorités et porté plainte.
Ce qu’on ne sait pas
- Le vecteur d’intrusion (identifiants de comptes clients, faiblesse applicative, autre) et la durée de présence.
- Le nombre d’organisations et de personnes concernées.
- La réalité d’une extraction massive et d’une diffusion des données.
Détection : rapide chez le prestataire, tardive pour les responsables de traitement
La plateforme a détecté les tentatives d’accès le 23 septembre et coupé le service : une réaction de confinement nette. En revanche, la qualification de l’exposition (quelles données de quels clients) a pris plusieurs semaines, puis a dû redescendre la chaîne. Pour l’Hôpital Foch, l’information est arrivée le 28 octobre. Ce délai pose une question pratique : un responsable de traitement doit notifier la CNIL dans les 72 heures après avoir pris connaissance de la violation, mais il dépend entièrement de la vitesse d’information de ses sous-traitants, et de leurs propres sous-traitants.
Questions d’audit ISO 27001:2022
- A.5.19 à A.5.21 Fournisseurs et chaîne d’approvisionnement : l’organisme identifie-t-il les sous-traitants ultérieurs qui traitent ses données (imprimeurs, routeurs, hébergeurs) ? Les contrats imposent-ils leur autorisation préalable et la répercussion des mêmes exigences de sécurité (cohérent avec l’article 28 du RGPD) ?
- A.5.20 et A.5.24 Notification d’incident : les contrats fixent-ils un délai maximal d’information en cas d’incident chez le fournisseur et ses sous-traitants, compatible avec l’obligation de notification sous 72 heures ? Le circuit a-t-il été testé ?
- A.5.34 Protection des données personnelles et A.8.10 Suppression des informations : les données transmises au prestataire sont-elles minimisées, et leur durée de conservation chez lui est-elle contractuelle et vérifiée ?
- A.5.26 Réponse aux incidents : le plan de réponse prévoit-il une notification aux personnes concernées avec des consignes anti-fraude (canaux de paiement officiels, rappel d’un numéro connu) ?
Piste complémentaire, A.5.22 Surveillance et revue des services fournisseurs : un incident public chez un fournisseur déclenche-t-il une réévaluation et une demande d’information proactive, sans attendre sa notification ?
Pistes de sensibilisation
- Pour les équipes comptabilité et relation client : « la vraie fausse relance ». Exercice de 20 minutes : un client appelle après avoir reçu une relance citant sa vraie facture mais un autre RIB. Que répond-on, et où sont publiés nos moyens de paiement officiels ? Support : la fiche « Violation ou fuite de données personnelles, que faire ? » de Cybermalveillance.gouv.fr.
- Pour les acheteurs : cartographier en une page. Lister les prestataires qui reçoivent des données clients et, pour chacun, ses propres sous-traitants connus ; repérer les trous.
À lire aussi : notre décryptage pour les dirigeants et notre bulletin de veille du 12 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.