En septembre, Maileva, le service d’envoi de courriers du groupe La Poste, a été piraté. Deux mois plus tard, ses clients découvrent un à un ce qui a pu être lu : un hôpital, des bailleurs sociaux et des laboratoires préviennent leurs usagers. Aucun d’eux n’a été piraté directement, mais leurs données l’ont été chez un sous-traitant, parfois de second rang.
Ce qui s’est passé
Le 23 septembre 2026, Maileva a coupé ses services après avoir repéré des tentatives d’accès frauduleuses à des comptes clients, avec apparemment l’idée d’envoyer de faux courriers en leur nom. Le service a repris quelques jours plus tard et une plainte a été déposée (Solutions Numériques).
Les suites sont apparues ensuite. Début novembre, plusieurs organisations ont informé leurs usagers que des données avaient pu être consultées : les bailleurs sociaux Flandre Opale Habitat et Altéal, des laboratoires du groupe Inovie (Cyberattaque.org, 10 novembre 2026) et l’Hôpital Foch, à Suresnes.
La notification de l’hôpital est la plus détaillée (Hôpital Foch, 6 novembre 2026). L’établissement confie ses relances de paiement à la société Kiwee, qui les fait imprimer et poster par Maileva. Il a appris le 28 octobre que le contenu des relances envoyées entre le 9 et le 23 septembre avait pu être lu : nom, adresse, numéro de facture, date des soins et montant dû. Les courriers ne mentionnent ni la nature des soins ni de coordonnées bancaires. L’hôpital a prévenu la CNIL et demandé à ses deux prestataires le détail des données exposées.
Comment l’attaque a fonctionné
Les détails techniques de l’intrusion ne sont pas publics. On sait que l’attaquant a d’abord tenté d’utiliser des comptes clients de la plateforme, et qu’il a pu consulter des informations de suivi des envois, puis, au moins pour certains clients, le contenu des courriers.
Le vrai sujet est la chaîne. Pour envoyer une relance, l’hôpital transmet ses données à un prestataire de recouvrement, qui les transmet à un imprimeur-routeur. Chaque maillon détient une copie. Il suffit que le plus éloigné soit compromis pour que les données des patients le soient aussi, sans que le système informatique de l’hôpital ait été touché.
Le risque qui suit est très concret : avec un vrai numéro de facture, une vraie date de soins et le vrai montant, un escroc peut rédiger une fausse relance presque parfaite, ou appeler en se faisant passer pour l’hôpital et demander un paiement sur un autre compte.
Ce qu’on ne sait pas encore
Le mode d’intrusion, le nombre total d’entreprises clientes et de personnes concernées ne sont pas connus. On ignore aussi si les données ont été copiées en masse et si elles circulent.
Ce que ça change pour une PME
- Sachez où partent vos données. Listez les prestataires qui reçoivent vos fichiers clients (impression, envoi de courriers, recouvrement, emailing) et demandez à chacun à qui il les confie à son tour.
- Exigez d’être prévenu vite. Le contrat doit fixer un délai court pour vous informer d’un incident, chez le prestataire comme chez ses propres sous-traitants : vous avez 72 heures pour notifier la CNIL.
- N’envoyez que le nécessaire, et pas pour dix ans. Limitez les données transmises et demandez combien de temps elles sont gardées.
- Préparez le message à vos clients. Rappelez vos seuls moyens de paiement officiels et invitez-les à rappeler un numéro connu en cas de doute, comme l’a fait l’hôpital. La fiche « Violation ou fuite de données personnelles, que faire ? » de Cybermalveillance.gouv.fr aide à réagir.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous quels prestataires reçoivent nos données clients, et à quels sous-traitants ils les confient eux-mêmes ?
- Nos contrats nous garantissent-ils d’être prévenus rapidement d’un incident chez un prestataire ou chez ses sous-traitants ?
- Les données que nous transmettons sont-elles limitées au nécessaire, et savons-nous quand elles sont effacées chez le prestataire ?
- Avons-nous préparé un message pour avertir nos clients et leur rappeler nos moyens de paiement officiels si leurs données fuient ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Fournisseurs et sous-traitants · Sites web et données clients
Cet article prolonge notre bulletin de veille du 12 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.