Fuite Maileva : 22 Millions D’Adresses Volées En France

Imaginez ouvrir votre boîte aux lettres un matin et découvrir que votre nom, votre prénom et votre adresse exacte circulent déjà sur des forums clandestins. Pas un e-mail. Pas un numéro de téléphone. Votre porte d’entrée physique. C’est exactement ce qui vient de se produire pour près d’un Français sur trois. Maileva, filiale de Docaposte, a officiellement reconnu le vol de 22 millions d’identités et d’adresses postales. Et dans le même souffle, un vendeur du nom de ChimeraZ a mis en ligne des bases provenant d’une plateforme d’échange décentralisée et d’un réseau de centres de contrôle technique. Pour les détenteurs de cryptomonnaies, cette combinaison n’est plus une simple fuite de données. C’est le premier maillon d’une chaîne qui peut mener jusqu’à la porte de leur domicile.

La Semaine Noire Des Fuites De Données En France

Depuis le début du mois de novembre 2026, les annonces s’enchaînent à un rythme inhabituel. Ce n’est plus une affaire isolée. C’est une série. Docaposte via sa marque Maileva, un DEX nommé Lithos sur la blockchain Plasma, le réseau SGS de contrôle technique automobile, puis une ribambelle d’autres structures plus modestes. Chaque jour apporte son lot de fichiers revendiqués. Les revendeurs spécialisés dans les bases de données volées savent qu’ils tiennent un filon particulièrement juteux. Une adresse postale, une fois croisée avec d’anciennes fuites d’exchanges ou de logiciels fiscaux, devient une cible concrète.

Le ministère de l’Intérieur a déjà recensé 90 affaires d’enlèvement, de séquestration ou d’extorsion liées aux cryptomonnaies entre janvier et la mi-août 2026. La France détient aujourd’hui le triste record mondial de ce type d’agressions. Dans ce contexte, la confirmation écrite de Maileva tombe comme un coup de massue.

Maileva Confirme Officiellement Le Vol De 22 Millions D’Identités

L’histoire commence le 23 septembre. Les équipes de Maileva détectent une activité anormale sur leurs systèmes. Elles coupent immédiatement l’ensemble des services. Pendant six jours, les entreprises clientes ne peuvent plus expédier leurs courriers électroniques ou physiques via la plateforme. Une plainte est déposée. Puis le silence s’installe. Pendant des semaines, aucune communication publique n’émane de Docaposte.

Ce sont les clients eux-mêmes qui commencent à alerter leurs usagers. L’Hôpital Foch, plusieurs laboratoires du groupe Inovie, les bailleurs sociaux Flandre Opale Habitat et Altéal envoient des mails d’information. Le 13 novembre, Maileva finit par répondre par écrit à Cyberattaque.org. L’entreprise reconnaît que « 22 millions de personnes sont concernées par le vol de leurs données d’identification ». Prénom, nom et adresse postale. Des documents internes évoqueraient également environ 39 millions de références de courriers.

22 millions de personnes sont concernées par le vol de leurs données d’identification.

Réponse écrite de Maileva à Cyberattaque.org, 13 novembre 2026

Le fichier en lui-même ne contient aucune information sur la détention de bitcoin ou d’autres actifs numériques. Mais sa valeur réside ailleurs. Croisé avec une ancienne fuite d’exchange, une base de clients de wallets matériels ou encore le fichier Waltio de janvier, il devient un outil de ciblage redoutablement précis. Les escrocs savent désormais à quelle porte frapper. Et comme Maileva gère l’envoi de courriers papier pour des milliers d’entreprises, les pirates disposent même d’indications sur les expéditeurs habituels de chaque foyer.

Les clients de Ledger se souviennent encore des faux appareils reçus par la poste après la fuite de 2020. Une enveloppe qui porte le logo d’un service officiel ou d’un fabricant connu inspire bien plus de confiance qu’un simple e-mail douteux. Le support papier aggrave donc considérablement le risque.

ChimeraZ Et La Vente En Chaîne Des Bases Lithos Et SGS

Un même pseudonyme revient dans presque toutes les annonces de la semaine. ChimeraZ. Le 8 novembre, il met en vente un fichier de 96 Go présenté comme provenant des activités françaises de SGS, le groupe qui gère notamment Sécuritest, Auto Sécurité et Vérif’Autos. Il revendique 259 millions de lignes, 22,7 millions de personnes et 40,9 millions de plaques d’immatriculation uniques. Les échantillons consultés par des spécialistes contiennent effectivement des numéros d’immatriculation et des numéros de série de véhicules. SGS, de son côté, n’a toujours pas confirmé ni infirmé ces affirmations.

Deux jours plus tard, le 10 novembre, le même vendeur s’attaque à un terrain beaucoup plus sensible pour la communauté crypto. Il propose un fichier de 411 Mo attribué à Lithos, un exchange décentralisé fonctionnant sur la blockchain Plasma. Selon les relevés de FrenchBreaches, l’annonce mentionne 173 146 adresses de wallets, 134 325 noms d’utilisateur, 112 436 noms et 50 239 adresses IP, dont 2 147 localisées en France.

L’échantillon rendu public ne contient ni phrase de récupération ni clé privée. Lithos n’a pas réagi publiquement à ce jour. Pourtant, une adresse de wallet associée à un nom et à une adresse IP suffit à faire sauter le pseudonymat. N’importe qui peut alors consulter l’historique on-chain complet, y compris le solde actuel. Une fois cette information croisée avec une adresse postale Maileva, le scénario devient particulièrement inquiétant.

Le Reste Du Tableau De Chasse De La Semaine

La liste ne s’arrête pas à Maileva, Lithos et SGS. Dix jours plus tôt, le Crédit Mutuel Arkéa avait déjà vu plus de 100 millions d’euros sortir de ses comptes pour être convertis en cryptomonnaies. Depuis, les annonces se multiplient presque quotidiennement.

Le 11 novembre, un pirate publie 643 760 fiches d’élèves et d’enseignants provenant d’ARTE. Le même jour, les clients du groupe Emova (Monceau Fleurs, Au Nom de la Rose, Happy et Cœur de Fleurs) sont touchés. Macif Avantages voit des données de clients exposées via son prestataire de bons d’achat Qwertys. Le 12 novembre, HomeMaison revendique 1,6 million d’adresses e-mail. Location-etudiant.fr met en vente 825 894 lignes. La Rez à Vandœuvre-lès-Nancy diffuse des dossiers de locataires contenant des IBAN. Le 13 novembre, le centre hospitalier d’Armentières voit 261 948 enregistrements de 2024 remis en circulation.

Un chiffre a particulièrement circulé : 9 millions de patients de la plateforme 1001RDV. L’éditeur Logicielnet affirme que seule sa vitrine WordPress a été compromise et dément toute exfiltration de données patients. Aucune vérification indépendante n’a encore été publiée. La prudence reste donc de mise face aux captures d’écran qui circulent.

Pourquoi Les Détenteurs De Cryptos Sont Particulièrement Exposés

Une adresse postale seule ne dit rien sur la détention de bitcoins. Mais le croisement de bases change tout. Les anciennes fuites d’exchanges centralisés, les listes de clients de fabricants de wallets matériels, les fichiers de logiciels de déclaration fiscale comme Waltio, ou encore les bases de plateformes DeFi, constituent autant de points de départ. Une fois le nom et l’adresse obtenus via Maileva, le pirate dispose d’un moyen concret de localiser la personne.

Les agressions physiques contre des détenteurs de cryptomonnaies ne relèvent plus de cas isolés. En France, les équipes de rapts se professionnalisent. Elles ciblent de préférence les personnes qui ont déjà montré publiquement un certain niveau de fortune en cryptos, ou celles dont le wallet affiche un solde significatif une fois le pseudonymat levé. Une simple adresse IP française associée à un wallet peut déjà orienter les recherches. Une adresse postale précise les finalise.

Le support papier utilisé par Maileva ajoute une couche de danger supplémentaire. Les escrocs savent quels types de courriers une personne reçoit habituellement. Ils peuvent alors fabriquer des enveloppes crédibles contenant de faux appareils, de fausses notifications fiscales ou de fausses mises à jour de sécurité. L’histoire des Ledger piégés envoyés par la poste après 2020 reste dans toutes les mémoires.

Les Réflexes À Adopter Immédiatement

Face à cette vague, quelques règles simples peuvent limiter les dégâts. Aucune entreprise légitime ne demandera jamais votre phrase de récupération, ni par courrier, ni par téléphone, ni par e-mail. Si quelqu’un vous contacte en se réclamant d’un fabricant de wallet ou d’un exchange et réclame vos seed phrases, raccrochez immédiatement.

Ne reliez jamais publiquement une adresse de wallet à votre identité réelle. Évitez de poster des captures d’écran de votre portefeuille sur les réseaux sociaux. Gardez le montant de vos avoirs pour vous, même au bureau ou lors d’un dîner en famille. Les conversations anodines peuvent devenir des sources d’information pour des personnes mal intentionnées.

Maileva a notifié la CNIL et une enquête judiciaire est en cours. Pourtant, aucun bilan précis des personnes réellement prévenues n’existe à ce jour. Ce sont les milliers d’entreprises clientes qui doivent écrire à leurs usagers. Beaucoup ne l’ont toujours pas fait. Le retard dans la notification laisse un temps précieux aux acheteurs de ces bases de données.

Un Contexte Déjà Lourds Pour Les Administrations Françaises

Cette semaine noire s’inscrit dans un contexte plus large. L’année 2026 a déjà été marquée par de nombreuses compromissions d’administrations et d’entreprises françaises. Les hôpitaux, les collectivités locales, les bailleurs sociaux et les prestataires de services numériques accumulent les incidents. Chaque nouvelle base volée alimente un marché parallèle où les données s’échangent, se croisent et se monétisent.

Pour les détenteurs de cryptomonnaies, la situation est particulièrement délicate. La nature même de ces actifs, facilement transférables et difficilement traçables une fois convertis, en fait une cible privilégiée. Les équipes criminelles savent qu’une fois sur place, elles peuvent forcer la victime à effectuer un transfert sous la menace. Le recel des fonds se fait ensuite en quelques minutes via des mixers ou des chaînes moins surveillées.

Le cas de Maileva illustre parfaitement la fragilité de la chaîne. Un prestataire de services postaux numériques détient les adresses de millions de Français. Une faille chez ce prestataire expose immédiatement un Français sur trois. Même si le fichier ne contient aucune information financière directe, sa combinaison avec d’autres sources transforme une simple adresse en outil de ciblage physique.

Lithos, Plasma Et La Fragilité Des DEX Émergents

L’affaire Lithos soulève également des questions sur la sécurité des plateformes d’échange décentralisées de nouvelle génération. Plasma est une blockchain encore jeune. Lithos y opère comme DEX. Le volume de données revendiqué (plus de 170 000 wallets) montre qu’une base utilisateurs significative a été constituée. Si les seed phrases n’apparaissent pas dans l’échantillon, les adresses associées à des noms et des IP suffisent déjà à lever le voile du pseudonymat pour des milliers d’utilisateurs.

Dans l’écosystème crypto, la promesse du décentralisé repose en partie sur l’absence de base de données centralisée contenant des informations personnelles. Pourtant, dès qu’un utilisateur se connecte via une interface web, laisse une adresse e-mail pour des notifications ou utilise un service d’analytics, des traces apparaissent. Ces traces, une fois consolidées, reconstituent des profils complets.

Les utilisateurs de Lithos qui ont fourni un nom d’utilisateur reconnaissable ou qui se connectent toujours depuis la même adresse IP se retrouvent aujourd’hui exposés. Même sans confirmation officielle de la plateforme, la prudence commande de considérer que ces données circulent déjà.

SGS Et La Dimension Automobile Des Fuites

La base SGS, bien que non confirmée par le groupe, ajoute une couche d’information géographique et matérielle. Les plaques d’immatriculation et les numéros de série de véhicules permettent, dans certains cas, de relier un individu à un lieu de résidence ou à un lieu de travail. Croisées avec des adresses postales, ces données affinent encore le ciblage.

Les centres de contrôle technique collectent des informations sur des millions de véhicules chaque année. Une compromission à cette échelle représente une mine d’or pour quiconque cherche à localiser des personnes. Même si le lien avec les cryptomonnaies n’est pas direct, la disponibilité de ces fichiers dans les mêmes canaux que les bases crypto augmente le risque global.

Comment Les Pirates Monétisent Ces Bases Aujourd’hui

Le marché des données volées a évolué. Autrefois, les fichiers d’e-mails se vendaient à bas prix pour du spam. Aujourd’hui, les bases contenant des adresses postales, des noms et des éléments permettant de lever le pseudonymat crypto se négocient à des tarifs nettement plus élevés. Les acheteurs ne cherchent plus seulement à envoyer des campagnes d’hameçonnage. Certains recherchent activement des cibles physiques.

ChimeraZ et d’autres vendeurs opèrent sur des forums spécialisés et des canaux chiffrés. Ils proposent des échantillons gratuits pour prouver l’authenticité, puis vendent l’intégralité du fichier. Une fois la base achetée, l’acheteur peut la croiser avec d’autres sources à l’aide d’outils relativement simples. Les scripts de matching entre noms, adresses et wallets se trouvent facilement.

Le temps joue contre les victimes. Plus les notifications tardent, plus les pirates disposent de semaines pour exploiter les données avant que les personnes concernées ne soient alertées. Dans le cas de Maileva, plusieurs semaines se sont écoulées entre la détection de l’incident en septembre et la confirmation publique du volume de données en novembre.

Le Rôle Des Prestataires Et La Chaîne De Responsabilité

Maileva n’est pas un acteur crypto. C’est un prestataire de services postaux numériques utilisé par des hôpitaux, des laboratoires, des bailleurs sociaux et des entreprises de toutes tailles. Pourtant, la compromission de ses systèmes a des conséquences directes sur la sécurité des détenteurs de cryptomonnaies. Cette situation illustre la fragilité de la chaîne de sous-traitance numérique.

Chaque entreprise qui confie des données personnelles à un prestataire élargit la surface d’attaque. Lorsque le prestataire gère des millions d’adresses, l’impact d’une faille devient systémique. La notification individuelle des personnes concernées dépend ensuite de la diligence de chaque client. Dans les faits, cette notification est souvent lente, incomplète ou absente.

La CNIL a été informée. Une enquête judiciaire est ouverte. Mais les personnes dont les données ont été volées restent pour la plupart dans l’ignorance. Elles ne savent pas que leur adresse circule. Elles ne savent pas que cette adresse peut être croisée avec d’autres fichiers. Elles ne prennent donc aucune précaution particulière.

Perspectives Et Vigilance Pour Les Mois À Venir

Cette semaine de novembre 2026 restera probablement comme l’une des plus denses en fuites de données de l’année en France. Le volume global des informations exposées est considérable. La nature des données (adresses postales, wallets, plaques d’immatriculation) les rend particulièrement dangereuses lorsqu’elles sont combinées.

Pour la communauté crypto, le message est clair. La sécurité ne se limite plus à la protection des seed phrases et à l’utilisation de wallets matériels. Elle inclut désormais la protection de l’identité réelle et de l’adresse physique. Le pseudonymat on-chain n’a de valeur que s’il n’est pas relié à une identité civile par ailleurs exposée.

Les utilisateurs de plateformes décentralisées doivent rester particulièrement attentifs aux informations qu’ils laissent sur les interfaces web. Un simple nom d’utilisateur trop proche de l’identité réelle, une adresse e-mail de récupération, une connexion toujours effectuée depuis le même réseau domestique : autant de points de faiblesse qui, une fois consolidés, permettent de reconstruire un profil complet.

Les semaines et les mois à venir diront si d’autres bases de taille comparable apparaissent sur les marchés clandestins. En attendant, la prudence reste la seule protection réellement efficace. Une adresse qui circule est le premier maillon. Il appartient à chacun de s’assurer que la chaîne s’arrête là.

Les détenteurs de cryptomonnaies qui n’ont jamais reçu de notification de la part d’un client de Maileva ne doivent pas pour autant se sentir à l’abri. Le volume annoncé de 22 millions de personnes signifie qu’une part très importante de la population française est potentiellement concernée. Dans le doute, adopter dès maintenant les réflexes de discrétion décrits plus haut constitue la meilleure attitude possible.

La France a déjà payé un lourd tribut aux agressions physiques liées aux cryptomonnaies. Les chiffres du ministère de l’Intérieur pour les huit premiers mois de 2026 sont éloquents. Chaque nouvelle base de données contenant des adresses postales et des éléments d’identification renforce le risque que ces chiffres continuent de progresser. La vigilance collective et individuelle reste, pour l’instant, le seul rempart disponible.

Cette séquence rappelle aussi que la cybersécurité ne concerne plus seulement les acteurs du numérique. Un prestataire postal, un réseau de centres de contrôle technique ou une plateforme de rendez-vous médicaux peuvent devenir, à leur insu, des maillons critiques dans la chaîne de compromission d’identités. Tant que la notification des personnes concernées restera fragmentée et tardive, les acheteurs de ces bases disposeront d’une longueur d’avance difficile à combler.

Pour ceux qui détiennent des cryptomonnaies, la leçon de cette semaine noire est simple à formuler, plus difficile à appliquer au quotidien : protéger son identité réelle avec la même rigueur que l’on protège ses clés privées. Parce qu’une fois l’adresse postale connue et le wallet identifié, la frontière entre le monde numérique et le monde physique s’efface dangereusement.