Maileva, le service d'envoi de courrier de Docaposte (groupe La Poste), reconnaît le vol des données de 22 millions de personnes, près du double des enregistrements touchés par la fuite de Capcom ID. Dans une réponse écrite à Cyberattaque.org, l'entreprise précise qu'il s'agit de leurs « données d'identification : prénom, nom, adresse postale ». Ce sont les destinataires des lettres que Maileva expédie pour plusieurs milliers d'entreprises clientes : bailleurs sociaux, laboratoires, hôpitaux ou transporteurs.
Le 23 septembre, Maileva a coupé tous ses services après avoir repéré une activité suspecte. L'entreprise a ensuite évoqué des tentatives d'envois frauduleux, sans parler de fuite. Un document de Docaposte daté du 5 octobre, consulté par FrenchBreaches, décrivait déjà une faille dans une application de Maileva et une base de 39 millions de références de courriers, soit 22 millions de personnes distinctes une fois les doublons retirés. Il parlait de personnes présentes dans le périmètre accessible à l'attaquant, sans établir que toutes leurs données avaient été téléchargées. Maileva emploie aujourd'hui le mot « vol », près de deux mois après la coupure.
Flandre Opale Habitat cite dans son avis aux locataires d'autres données : l'adresse e-mail, le numéro de client, des informations sur le logement et des montants de facture, sur des envois des dix dernières années. L'Hôpital Foch signale, selon Cyberattaque.org, des relances de paiement avec numéros de facture, dates de soins et montants à payer, sans la nature des soins ni coordonnées bancaires.
Maileva ne cite aucun mot de passe parmi les données volées ; le groupe Inovie (laboratoires) écarte aussi mots de passe et données de paiement. Le risque vient des fausses relances envoyées par courrier, e-mail ou SMS, rendues crédibles par votre nom, votre adresse et celui de votre bailleur, laboratoire ou hôpital. Avant d'accepter un changement de RIB ou de régler une demande urgente, appelez l'organisme à son numéro habituel. Ouvrez vous-même son site, jamais le lien reçu. Vérifiez aussi l'adresse dans la barre du navigateur, puisque les faux sites de GTA 6 imitaient jusqu'au PlayStation Store.
Maileva n'a prévenu que ses entreprises clientes, chargées d'informer les personnes concernées. Aucun bilan ne dit combien l'ont fait. Pour savoir si vous êtes concerné, adressez une demande d'accès à l'organisme qui vous écrit. Il a un mois pour répondre, trois si la demande est complexe et qu'il vous en avertit dans le premier mois. Sans réponse dans ce délai, ou face à une réponse incomplète, saisissez la CNIL. Signalez une tentative d'arnaque sur cybermalveillance.gouv.fr. Maileva a notifié la CNIL et porté plainte ; une enquête judiciaire est en cours.
Photos : Donna Alvita, licence CC BY-SA 4.0 (une) ; Hadi, licence CC0, Wikimedia Commons.