TL;DR

  • La Poste a annoncé le 14 novembre 2026 que l'attaque contre sa filiale Maileva avait exposé les prénom, nom et adresse postale de 22 millions de personnes.
  • Pour savoir si l'on est concerné, le plus sûr est d'interroger les organismes qui vous écrivent, et de se méfier des faux SMS et faux appels.
  • Le vrai problème est une chaîne de sous-traitance où la responsabilité se dilue : près de deux mois entre la suspension des services et la confirmation du chiffre global.
  • La plateforme et son groupe, qui seuls détiennent la liste complète des destinataires, doivent assumer une information publique consolidée et un guichet unique.
  • Une qualification de sécurité reconnue dans toute l'Union, adossée à une application homogène de NIS2, évite de morceler le marché européen.

Après Maileva, la plateforme et son groupe doivent assumer l'information consolidée des victimes, sous une qualification de sécurité et une NIS2 appliquée uniformément en Europe.

Le 14 novembre 2026, La Poste a indiqué que l'attaque subie mi-septembre par sa filiale Maileva avait exposé les prénom, nom et adresse postale de 22 millions de personnes. Les coordonnées bancaires ne sont pas concernées, selon le groupe ; la CNIL a été notifiée, une plainte déposée. Suis-je concerné ? Le plus sûr est d'interroger les organismes qui vous écrivent par courrier.

Le vrai problème n'est pas la faille, que tout système peut subir. C'est une responsabilité qui se dilue à mesure que la chaîne s'allonge.

Une plateforme d'envoi prospère en concentrant les clients : plusieurs milliers d'entreprises clientes sont concernées, selon Cyberattaque.org. Or le donneur d'ordre compare des prix, pas une sécurité qu'il ne peut observer. Et les destinataires, exposés pendant des mois aux faux SMS et faux appels, ne sont partie à aucun contrat. La sécurité devient une externalité que personne ne paie.

La chronologie l'illustre. Les services ont été suspendus le 23 septembre ; le chiffre global n'a été confirmé, d'abord à un site spécialisé, que près de deux mois plus tard. Certaines notifications de clients évoquent des données qui pourraient aller au-delà du nom et de l'adresse : adresses électroniques et identifiants d'expéditeurs, numéros de client, montants de facture. Le nombre de personnes concernées par ces éléments n'est pas communiqué. Début 2024, France Travail avait déjà connu une attaque menaçant les données de 43 millions de personnes.

On objectera que le sous-traitant a rempli son rôle en avertissant ses clients, à qui revient l'information des personnes. Soit. Mais lorsque des milliers d'organismes communiquent en ordre dispersé, personne ne sait combien de destinataires ont été prévenus. Seule la plateforme détient la liste complète.

Deux leviers. Côté marché, publier pour chaque prestataire une qualification de sécurité et l'historique de ses incidents, pour que la sécurité entre dans le prix. Côté public, faire remonter la notification au maillon qui concentre les données : la plateforme et son groupe assumeraient une information publique consolidée et un guichet unique où chacun vérifie s'il est concerné. Les donneurs d'ordre, eux, transmettraient le minimum et imposeraient des durées de conservation courtes et publiées. Un groupe de la taille de La Poste peut montrer l'exemple.

Ces exigences ne valent qu'à l'échelle de l'Union. Une qualification nationale morcellerait le marché et protégerait les prestataires installés. Appliquée de façon homogène par les Vingt-Sept, NIS2 ferait de la sécurité un argument de concurrence, non un coût caché.

Sources

Pour aller plus loin sur arguments.fr