Maileva est une marque de Docaposte, la filiale numérique du groupe La Poste, et des organismes très divers s'en servent pour expédier leurs courriers, leurs factures et leurs relances de paiement. Les particuliers, eux, n'ont affaire qu'à l'expéditeur de la lettre : nous ouvrons ces enveloppes sans nous demander qui les a imprimées et postées, et c'est ce qui rend l'affaire si déroutante.

Ce prestataire discret se retrouve désormais au cœur de l'une des plus vastes fuites de données reconnues en France cette année. Samedi 14 novembre, La Poste a précisé que l'attaque avait conduit à « l'exposition des coordonnées (prénom, nom, adresse postale) de 22 millions de personnes, destinataires des entreprises clientes de Maileva ». Plusieurs milliers d'entreprises clientes de Maileva sont concernées, si bien que votre nom a pu partir de votre hôpital, de votre laboratoire ou de votre bailleur sans que vous ayez signé quoi que ce soit avec elle.
 

Tout a commencé le 23 septembre à 7 heures, quand Maileva a suspendu l'ensemble de ses services après avoir détecté des activités informatiques suspectes. Le site spécialisé Cyberattaque.org, qui a révélé l'attaque dès le 24 septembre, rapporte que le pirate cherchait notamment à se servir de la plateforme pour expédier des courriers à l'insu de leurs véritables expéditeurs. Les services ont repris le 29 septembre, mais la suite a montré que l'intrusion ne s'arrêtait pas à ces envois.

Au fil des semaines, les organismes clients ont en effet découvert que les coordonnées de leurs usagers avaient fuité. Des laboratoires d'analyses médicales du groupe Inovie figurent parmi eux, tout comme deux bailleurs sociaux, Flandre Opale Habitat dans les Hauts-de-France et Altéal en Occitanie. Chez Flandre Opale Habitat, les courriers concernés peuvent remonter à dix ans. La violation a été notifiée à la Cnil, une plainte a été déposée et une enquête judiciaire est en cours.
 

Pour l'essentiel, le vol porte sur un prénom, un nom et une adresse postale. Certains courriers en disaient toutefois davantage. L'Hôpital Foch, à Suresnes, a ainsi prévenu ses patients qu'un pirate avait pu consulter des relances de paiement envoyées entre le 9 et le 23 septembre, avec leurs numéros de facture, leurs dates de soins et les montants à payer. Ni la nature des soins ni les coordonnées bancaires des patients n'y figuraient.

C'est précisément ce genre de détail qui intéresse les escrocs. Avec votre nom, votre adresse et le nom d'un organisme qui vous écrit réellement, un fraudeur peut fabriquer une fausse relance de paiement bien plus crédible qu'un message envoyé au hasard, en se faisant passer pour votre hôpital, votre laboratoire ou votre bailleur. Nous avons l'habitude de régler une facture d'hôpital dès qu'elle arrive, et c'est sur ce réflexe que compte le fraudeur.

Je vous conseille donc de ne payer une somme réclamée par courrier, SMS, e-mail ou téléphone qu'après l'avoir fait confirmer par l'organisme lui-même. Appelez-le au numéro que vous connaissez déjà, celui de votre dernier avis ou de votre espace patient, et non celui imprimé sur la lettre qui vous presse.
 

Selon La Poste, toutes les entreprises clientes concernées ont été prévenues, et il leur appartient désormais d'informer une à une les personnes touchées. Aucun bilan ne dit encore combien de Français ont reçu ce message. Ne pas en recevoir ne prouve d'ailleurs rien, puisqu'un réseau de laboratoires a reconnu ne pas pouvoir établir précisément la liste des patients concernés.

Si une lettre de votre hôpital, de votre laboratoire ou de votre bailleur vous informe que vos données font partie du lot, gardez-la, car elle dit ce qui vous concerne. C'est l'un des réflexes de la première semaine que recommande la Cnil dans son dépliant consacré aux violations de données personnelles, qui invite aussi à se méfier des courriels, SMS ou appels inhabituels, alarmants ou trop attrayants, et à rester attentif à tout courrier inattendu.

Rien ne vous empêche, enfin, de demander à vos organismes s'ils confiaient leurs envois à Maileva. Leur réponse vous dira s'il faut attendre une lettre, ou simplement regarder de près la prochaine relance qui portera leur nom.