Una delle più grandi violazioni di dati personali registrate in Francia. Un attacco informatico alla piattaforma Maileva, controllata da Docaposte e appartenente al gruppo La Poste, ha portato al furto di nomi, cognomi e indirizzi postali di 22 milioni di persone. L'incidente risale a settembre 2026, ma la portata della violazione è stata confermata pubblicamente soltanto il 14 novembre. Migliaia di aziende clienti risultano coinvolte, comprese organizzazioni che operano nei settori sanitario, abitativo e dei servizi pubblici. La CNIL è stata informata ed è in corso un'indagine giudiziaria.
La Poste conferma il furto dei dati di 22 milioni di persone
La notizia è arrivata dalla Francia il 14 novembre 2026 e riguarda una delle più importanti infrastrutture digitali utilizzate dalle aziende per gestire la propria corrispondenza.
A essere colpita non è stata direttamente la rete degli uffici postali francesi, né il servizio ordinario di consegna dei pacchi. Il bersaglio dell'attacco è stato Maileva, una piattaforma specializzata nella gestione, produzione e spedizione di documenti professionali.
La società appartiene a Docaposte, realtà digitale del gruppo La Poste.
Secondo quanto comunicato da La Poste all'agenzia AFP, l'attacco informatico ha provocato il furto dei dati identificativi di 22 milioni di persone.
Le informazioni ufficialmente indicate comprendono:
- Nome.
- Cognome.
- Indirizzo postale.
Si tratta delle informazioni relative ai destinatari della corrispondenza spedita per conto delle aziende clienti della piattaforma.
La Poste ha confermato che diverse migliaia di organizzazioni sono interessate dall'incidente, in particolare nei settori dell'edilizia residenziale sociale, della sanità e dei servizi pubblici.
Maileva ha notificato la violazione alla Commission nationale de l'informatique et des libertés (CNIL), l'autorità francese per la protezione dei dati personali, e ha presentato una denuncia. La Poste ha inoltre confermato che è in corso un'indagine giudiziaria.
La dimensione dell'incidente è particolarmente significativa: il numero di persone coinvolte equivale a una quota molto consistente della popolazione francese.
È però importante chiarire che il dato di 22 milioni riguarda le persone interessate dal furto delle informazioni identificative confermate dall'azienda. Non significa che siano stati sottratti automaticamente tutti i documenti, le fatture o il contenuto delle lettere spedite attraverso Maileva.
Che cos'è Maileva e perché custodiva così tante informazioni
Per comprendere la portata dell'attacco bisogna conoscere il ruolo della piattaforma.
Maileva offre servizi digitali che permettono alle aziende di gestire e spedire documenti senza occuparsi direttamente della stampa e dell'invio fisico della corrispondenza.
Attraverso il servizio, un'organizzazione può trasmettere documenti da distribuire ai propri destinatari, demandando alla piattaforma le operazioni necessarie per la spedizione.
Tra i documenti gestiti possono figurare:
- Buste paga e comunicazioni ai dipendenti.
- Fatture e avvisi di pagamento.
- Lettere raccomandate.
- Solleciti amministrativi.
- Comunicazioni relative a contratti e servizi.
- Documenti destinati a clienti, pazienti e utenti di enti pubblici.
Maileva è una società controllata da Docaposte, a sua volta parte del gruppo La Poste.
Secondo le informazioni diffuse dalla stampa francese, la piattaforma conta oltre 70.000 utenti e nel 2024 ha gestito l'invio di circa 180 milioni di documenti.
Questi numeri aiutano a comprendere perché una compromissione della piattaforma possa avere conseguenze estese anche al di fuori dell'organizzazione direttamente attaccata.
Un'azienda che utilizza Maileva non deve necessariamente aver subito un'intrusione nei propri server per vedere compromesse alcune informazioni dei propri clienti. È sufficiente che il problema interessi il fornitore esterno al quale ha affidato una parte del trattamento dei dati.
La cronologia dell'attacco: cosa è successo a settembre
La violazione è stata resa pubblica a novembre, ma l'incidente risale a circa due mesi prima.
Le ricostruzioni pubblicate da Cyberattaque.org e approfondite da altre testate francesi permettono di delineare una cronologia più precisa.
9 settembre 2026: le prime attività sospette
Secondo la ricostruzione basata su documentazione attribuita a Docaposte, le prime attività informatiche sospette sarebbero iniziate il 9 settembre.
16 e 17 settembre: individuazione dell'attività anomala
Le informazioni pubblicate da Frandroid indicano che l'attività sarebbe stata rilevata in questa fase. La ricostruzione tecnica completa resta comunque affidata alle indagini.
23 settembre: sospensione dei servizi
Alle ore 7 del mattino Maileva ha sospeso preventivamente i propri servizi dopo aver individuato attività non autorizzate.
Le prime comunicazioni indirizzate ai clienti facevano riferimento a tentativi di accesso a determinati account e al rischio che la piattaforma potesse essere utilizzata per inviare corrispondenza fraudolenta.
24 settembre: emergono le prime informazioni pubbliche
Cyberattaque.org ha pubblicato le prime informazioni sull'incidente, ricostruendo quanto comunicato ai clienti della piattaforma.
29 settembre: ripristino del servizio
Dopo circa sei giorni di interruzione, Docaposte ha confermato il ritorno alla piena operatività dei servizi Maileva.
9 ottobre: emergono le prime notifiche sulla violazione dei dati
Alcune organizzazioni clienti hanno iniziato a comunicare possibili accessi non autorizzati alle informazioni relative alla corrispondenza gestita dalla piattaforma.
14 novembre: La Poste conferma l'entità del furto
La comunicazione diffusa attraverso AFP rende pubblica la dimensione della violazione: 22 milioni di persone e migliaia di aziende clienti coinvolte.
La cronologia mostra un aspetto importante: il ripristino del funzionamento di una piattaforma non coincide necessariamente con la conclusione delle verifiche sulle informazioni eventualmente sottratte.
Quali dati sono stati rubati? La distinzione più importante
Uno degli aspetti da chiarire riguarda la natura delle informazioni coinvolte.
La comunicazione ufficiale di La Poste conferma il furto di tre categorie di dati:
- Nome.
- Cognome.
- Indirizzo postale.
Queste informazioni costituiscono il perimetro numerico dei 22 milioni di soggetti indicati dall'azienda.
Tuttavia, le notifiche diffuse da alcune organizzazioni clienti mostrano che, in determinati casi, la compromissione potrebbe aver interessato anche informazioni ulteriori associate alla corrispondenza.
Questo non significa che tutti i dati aggiuntivi siano stati sottratti per tutte le 22 milioni di persone.
Il contenuto delle informazioni dipende dai documenti trattati, dalle funzionalità utilizzate e dal rapporto tra Maileva e ciascuna organizzazione cliente.
Un esempio particolarmente significativo riguarda l'Hôpital Foch, struttura sanitaria francese che ha pubblicato una propria comunicazione sulla vicenda.
L'ospedale ha spiegato che alcuni solleciti di pagamento inviati ai pazienti attraverso la catena di servizi Maileva-Kiwee potrebbero essere stati consultati da un soggetto non autorizzato.
In questo specifico caso, le informazioni potenzialmente esposte comprendevano:
- Nome e cognome.
- Indirizzo postale.
- Numero della fattura.
- Data delle prestazioni sanitarie.
- Importo da pagare.
L'ospedale ha precisato che i documenti interessati non indicavano la natura esatta delle cure ricevute né le coordinate bancarie dei pazienti. Potevano tuttavia rivelare che una persona aveva ricevuto prestazioni sanitarie presso la struttura.
È una distinzione fondamentale: i dati relativi alle lettere di sollecito dell'Hôpital Foch non devono essere automaticamente attribuiti all'intera platea dei 22 milioni di interessati.
Laboratori, ospedali e alloggi sociali: chi può essere coinvolto
La vicenda è particolarmente delicata perché Maileva non viene utilizzata soltanto da normali aziende commerciali.
Tra i soggetti che hanno segnalato possibili conseguenze dell'incidente figurano realtà appartenenti a settori nei quali le comunicazioni possono contenere informazioni personali importanti.
Il settore sanitario
Le comunicazioni pubblicate da alcune organizzazioni del gruppo Inovie hanno riguardato possibili esposizioni di informazioni identificative relative a pazienti.
Anche l'Hôpital Foch ha diffuso una propria informativa, spiegando il possibile accesso a specifiche lettere di sollecito di pagamento.
Questi episodi mostrano come una violazione che interessa un fornitore di servizi documentali possa raggiungere indirettamente persone che utilizzano servizi sanitari, senza che i sistemi informatici dell'ospedale o del laboratorio siano necessariamente stati attaccati.
Gli enti di edilizia residenziale sociale
Altre comunicazioni hanno interessato organizzazioni come Flandre Opale Habitat e Altéal.
Nel caso di Flandre Opale Habitat, l'ente ha segnalato che alcune informazioni potenzialmente interessate potevano riguardare comunicazioni inviate anche nel corso degli anni precedenti.
Tra gli elementi citati figurano dati identificativi, riferimenti relativi agli alloggi e alcune informazioni amministrative o finanziarie.
Anche in questo caso non è corretto concludere che tutti gli inquilini o tutti i documenti dell'organizzazione siano stati coinvolti.
Trasporti e servizi pubblici
Le ricostruzioni hanno interessato anche IZILO, rete di trasporto pubblico dell'area di Lorient, che ha comunicato un accesso non autorizzato ad alcune informazioni personali degli utenti.
Il quadro complessivo mostra quindi una violazione che attraversa organizzazioni differenti, accomunate dall'utilizzo della stessa piattaforma esterna per la gestione della corrispondenza.
Perché il furto di un indirizzo può diventare un problema serio
A prima vista, nome, cognome e indirizzo postale possono sembrare informazioni meno pericolose rispetto a una password, a un numero di carta di credito o alle credenziali di un conto bancario.
Il rischio cambia però quando questi dati vengono utilizzati insieme ad altre informazioni.
Un criminale informatico che conosce il nome di una persona, il suo indirizzo e il rapporto con un'organizzazione può costruire una comunicazione molto più credibile di un messaggio generico.
Il problema è particolarmente evidente nel caso delle lettere amministrative e delle comunicazioni economiche.
Immaginiamo una persona che riceva un messaggio apparentemente proveniente dal proprio ente gestore dell'alloggio.
Il testo potrebbe contenere riferimenti a una fattura, a una pratica amministrativa o a una comunicazione precedente.
Se il truffatore dispone di informazioni reali, il messaggio può sembrare autentico.
Lo stesso principio può essere applicato alle comunicazioni sanitarie, alle fatture aziendali e alle richieste di pagamento.
Il rischio principale è quindi rappresentato da:
- Phishing tramite posta elettronica.
- Smishing attraverso SMS.
- False raccomandate e comunicazioni amministrative.
- Fatture contraffatte.
- Falsi solleciti di pagamento.
- Tentativi di impersonificazione di ospedali, enti pubblici e aziende.
- Truffe telefoniche basate su informazioni personali autentiche.
La disponibilità di dati reali permette infatti di rendere più convincenti le tecniche di ingegneria sociale.
Non è necessario che il criminale possieda una password per tentare una frode. In alcuni casi è sufficiente conoscere abbastanza informazioni sulla vittima da convincerla a effettuare un pagamento o a comunicare ulteriori dati.
Attenzione alle informazioni bancarie: cosa sappiamo davvero
Alcune ricostruzioni giornalistiche hanno segnalato anche possibili esposizioni di informazioni amministrative e finanziarie relative alle aziende clienti.
In particolare, Frandroid ha riferito che la documentazione attribuita a Docaposte avrebbe evidenziato problemi anche nell'ambiente di fatturazione della piattaforma, con informazioni relative agli IBAN delle aziende clienti, agli importi delle fatture e ai contatti amministrativi.
È importante non confondere queste informazioni con i dati identificativi delle 22 milioni di persone.
Non risulta infatti che il comunicato ufficiale di La Poste abbia dichiarato il furto dei dati bancari personali di tutti gli interessati.
Per le aziende, invece, la possibile esposizione di informazioni amministrative e bancarie rappresenta un ulteriore rischio da valutare, soprattutto in relazione alle frodi sui pagamenti e alla sostituzione fraudolenta degli IBAN nelle fatture.
Il quadro definitivo dovrà essere chiarito dalle verifiche tecniche e dalle comunicazioni dei singoli soggetti coinvolti.
Come possono essere utilizzati i dati per organizzare una truffa
Uno degli scenari più preoccupanti riguarda le frodi costruite sfruttando la conoscenza delle normali comunicazioni tra un'organizzazione e i suoi utenti.
Un criminale potrebbe, per esempio, presentarsi come:
- Un ospedale che richiede il pagamento di una prestazione.
- Un ente che gestisce un'abitazione sociale.
- Un'azienda che invia una fattura.
- Un ufficio amministrativo che richiede l'aggiornamento di una pratica.
- Un servizio pubblico che comunica una presunta irregolarità.
La presenza di un indirizzo reale o di un riferimento amministrativo corretto può aumentare la credibilità del messaggio.
Questo tipo di frode è particolarmente insidioso perché non richiede necessariamente l'invenzione di un'intera identità. Il truffatore può sfruttare informazioni autentiche per rendere credibile una richiesta falsa.
È quindi opportuno prestare attenzione anche alle comunicazioni che sembrano provenire da organizzazioni conosciute.
Cosa devono fare le persone potenzialmente interessate
La prima raccomandazione è non farsi prendere dal panico.
Il furto di nome, cognome e indirizzo non significa automaticamente che siano stati compromessi conti bancari, password o documenti d'identità.
È però necessario aumentare il livello di attenzione nei confronti delle comunicazioni ricevute.
Alcune precauzioni sono particolarmente utili.
1. Controllare con attenzione le richieste di pagamento
Una fattura o un sollecito ricevuto via e-mail, SMS o posta deve essere verificato attraverso i recapiti ufficiali dell'organizzazione che lo avrebbe emesso.
2. Non utilizzare automaticamente i link ricevuti
In caso di comunicazioni sospette, è preferibile accedere direttamente al sito ufficiale dell'ente o dell'azienda.
3. Verificare eventuali modifiche alle coordinate bancarie
Una richiesta di effettuare un bonifico verso un nuovo IBAN deve essere verificata attraverso un canale indipendente e già conosciuto.
4. Non comunicare password e codici di sicurezza
Nessun dato personale rubato deve diventare il pretesto per convincere l'utente a consegnare ulteriori credenziali.
5. Prestare attenzione alle telefonate
Un interlocutore che conosce nome, indirizzo e dettagli amministrativi non è automaticamente un rappresentante legittimo dell'organizzazione.
6. Conservare le comunicazioni ricevute
In caso di sospetta truffa, messaggi, e-mail e documenti possono essere utili per segnalare l'accaduto alle autorità.
7. Contattare l'organizzazione interessata
Chi riceve una comunicazione ufficiale relativa alla violazione dovrebbe seguire le indicazioni fornite dal proprio ente, ospedale o azienda.
È inoltre opportuno diffidare di eventuali messaggi che promettono di cancellare i dati rubati dietro pagamento.
La CNIL e l'indagine giudiziaria: quali sono gli obblighi
La Poste ha confermato che Maileva ha notificato l'incidente alla CNIL e presentato una denuncia.
La CNIL è l'autorità indipendente francese che vigila sulla protezione dei dati personali.
Il quadro normativo di riferimento è il Regolamento generale sulla protezione dei dati, conosciuto come GDPR.
L'articolo 33 stabilisce che una violazione di dati personali che comporti un rischio per i diritti e le libertà delle persone deve essere notificata all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza dell'incidente.
L'articolo 34 prevede inoltre che, quando la violazione può comportare un rischio elevato per i diritti e le libertà delle persone, gli interessati debbano essere informati senza ingiustificato ritardo, salvo le eccezioni previste dal regolamento.
Nel caso Maileva, il rapporto tra la piattaforma e le organizzazioni clienti rende particolarmente importante la corretta gestione delle comunicazioni.
Maileva opera come fornitore di servizi per altre organizzazioni. Queste ultime devono valutare, in relazione ai trattamenti di cui sono responsabili, quali informazioni siano state coinvolte e quali comunicazioni siano necessarie nei confronti delle persone interessate.
È anche per questo che le notifiche possono arrivare in momenti differenti e con dettagli diversi.
La comunicazione di La Poste conferma la notifica alla CNIL e la denuncia, ma non costituisce una ricostruzione tecnica completa dell'attacco né una conclusione dell'indagine.
La sicurezza dei fornitori esterni è diventata un problema centrale
La vicenda Maileva mette in evidenza un aspetto sempre più importante della cybersicurezza: un'organizzazione può subire le conseguenze di un attacco informatico anche quando i propri sistemi non sono stati direttamente violati.
Ospedali, enti pubblici, aziende e gestori di servizi affidano quotidianamente attività importanti a fornitori esterni.
Questi soggetti possono gestire informazioni personali, documenti amministrativi, comunicazioni finanziarie e dati relativi agli utenti.
La sicurezza di un'organizzazione dipende quindi anche dal livello di protezione dei suoi partner tecnologici.
Tra le misure che dovrebbero essere considerate prioritarie figurano:
- Valutazioni periodiche della sicurezza dei fornitori.
- Limitazione degli accessi ai dati strettamente necessari.
- Controlli sugli account e sui privilegi amministrativi.
- Cifratura delle informazioni.
- Monitoraggio degli accessi e delle attività anomale.
- Procedure di risposta agli incidenti.
- Piani di continuità operativa.
- Verifiche periodiche sulla conservazione e sulla cancellazione dei dati.
Un ulteriore aspetto riguarda la quantità di informazioni conservate nel tempo.
Quando un servizio gestisce documenti relativi a molti anni di attività, una compromissione può avere conseguenze che superano il periodo immediatamente precedente all'incidente.
La minimizzazione dei dati e la definizione di tempi di conservazione adeguati sono quindi elementi importanti della protezione della privacy.
Non è un attacco dimostrato a tutti gli uffici postali francesi
Un'altra precisazione è necessaria per evitare interpretazioni errate.
La violazione riguarda Maileva, piattaforma appartenente all'ecosistema digitale di La Poste attraverso Docaposte.
Non risultano elementi che permettano di affermare che siano stati compromessi tutti gli uffici postali francesi, i sistemi di consegna dei pacchi o l'intera rete nazionale.
La distinzione è importante anche per comprendere la natura dell'incidente.
Non si tratta semplicemente di un'interruzione del servizio postale, ma di una violazione dei dati personali custoditi o trattati da un fornitore di servizi documentali.
La stessa La Poste ha confermato che l'attacco è avvenuto a metà settembre, mentre la dimensione della fuga è stata comunicata pubblicamente a novembre.
Ci sono collegamenti con altri attacchi informatici in Europa?
La vicenda arriva in un periodo in cui diversi settori europei stanno affrontando incidenti informatici che coinvolgono infrastrutture e servizi essenziali.
Negli ultimi mesi sono emersi casi riguardanti la distribuzione alimentare, la refrigerazione industriale, i servizi finanziari e le organizzazioni sanitarie.
Tuttavia, la somiglianza temporale tra episodi differenti non costituisce una prova di un'unica campagna criminale.
Nel caso Maileva non è stata resa pubblica un'attribuzione definitiva dei responsabili.
Non ci sono elementi sufficienti per indicare uno specifico gruppo ransomware, un'organizzazione straniera o un governo come autore dell'attacco.
Anche la modalità tecnica di accesso deve essere distinta dalle ipotesi circolate nelle ricostruzioni giornalistiche.
L'eventuale sfruttamento di una vulnerabilità applicativa è stato riportato da alcune fonti, ma non va presentato come una conclusione investigativa ufficiale.
Cosa può succedere adesso
La conferma dei 22 milioni di interessati rappresenta soltanto una parte del lavoro ancora necessario per comprendere l'impatto dell'incidente.
Le verifiche dovranno chiarire la portata effettiva delle informazioni accessibili, le modalità dell'intrusione, le eventuali ulteriori categorie di dati coinvolte e le conseguenze per le organizzazioni clienti.
Un altro elemento riguarda le persone interessate: non tutte riceveranno necessariamente comunicazioni identiche, perché le informazioni trattate dipendono dai servizi utilizzati dalle singole aziende.
Per i cittadini francesi, il rischio più concreto nel breve periodo è rappresentato dall'utilizzo fraudolento delle informazioni personali per costruire comunicazioni credibili.
Per le organizzazioni, invece, la vicenda costituisce un importante richiamo alla necessità di controllare la sicurezza dei fornitori che trattano dati per loro conto.
La lezione riguarda anche le aziende italiane: affidare documenti e informazioni a un servizio esterno non significa trasferire soltanto un'attività operativa. Significa anche condividere una responsabilità concreta nella protezione dei dati.
Il caso Maileva dimostra quanto possa essere esteso l'impatto di un singolo incidente quando una piattaforma viene utilizzata da migliaia di organizzazioni.
Ventidue milioni di persone, migliaia di aziende e informazioni che attraversano sanità, servizi pubblici e rapporti amministrativi.
La sicurezza informatica non riguarda più soltanto i server di una singola azienda. Riguarda l'intera rete di fornitori, partner e infrastrutture digitali da cui dipendono i servizi quotidiani.
