Samedi 14 novembre 2026, le groupe La Poste a annoncé à l’Agence France-Presse que sa filiale Maileva avait été victime d’une cyberattaque mi-septembre ayant conduit à l’exposition des coordonnées de 22 millions de personnes. Selon la déclaration transmise à l’AFP et relayée notamment par Le Monde, l’attaque a mené à l’exposition des prénom, nom et adresse postale de 22 millions de personnes, destinataires des entreprises clientes de Maileva. La société a notifié la Commission nationale de l’informatique et des libertés (CNIL) et déposé une plainte, et une enquête judiciaire est en cours. Plateforme spécialisée dans l’envoi de courriers professionnels pour les PME et les entreprises de taille intermédiaire, avec les bulletins de paie, les recommandés, les factures et les convocations d’assemblées générales, Maileva est une filiale de Docaposte, elle-même filiale du groupe La Poste, et revendique plus de 70 000 utilisateurs pour 180 millions de documents envoyés en 2024. Le site spécialisé cyberattaque.org y voit l’une des plus importantes fuites de données en France.
Quand une fuite atteint ce volume, la première vague frappe les systèmes, et la seconde vise directement les boîtes de réception et les téléphones des particuliers. Des escrocs exploitent les coordonnées volées pour envoyer des SMS, des courriels et passer des appels qui imitent l’opérateur postal, une banque, un employeur ou une administration, avec un objectif simple : soutirer des codes, déclencher des virements ou installer un accès à distance. Ce second danger est documenté par la jurisprudence : la Cour de cassation a déjà jugé une affaire où des escrocs avaient usurpé le numéro de téléphone de la conseillère bancaire de leur victime pour lui faire valider des virements frauduleux. Cet article décrit la conduite à tenir face à ces messages frauduleux qui surfent sur la fuite : reconnaître un faux message et le signaler au 33700, déposer plainte pour usurpation d’identité et escroquerie, exiger de sa banque le remboursement des opérations non autorisées, et faire valoir ses droits sur ses données personnelles, y compris l’indemnisation du préjudice subi. Pour savoir si vos données figurent parmi celles qui ont été exposées et connaître vos premiers droits face au responsable du traitement, notre dossier consacré aux premiers réflexes après le vol de vos données complète utilement cette lecture : ici, l’objet est la riposte contre les fraudeurs et l’obtention d’une réparation.
I. Les messages frauduleux qui exploitent la fuite : reconnaître, signaler, bloquer
A. Reconnaître un faux SMS, un faux appel et un faux courriel
Un message frauduleux qui surfe sur une fuite de grande ampleur présente presque toujours les mêmes ressorts. L’expéditeur se présente comme un acteur de confiance : l’opérateur postal pour un colis bloqué ou des frais à régler, la banque pour une opération suspecte à annuler, l’employeur pour un bulletin de paie à télécharger, parfois une administration pour un remboursement ou une amende. Le texte crée un sentiment d’urgence, avec un délai de quelques heures, et pousse à cliquer sur un lien, à rappeler un numéro ou à saisir un code reçu par SMS. La règle de base tient en une phrase : aucun organisme sérieux ne demande jamais par SMS, par courriel ou au téléphone la validation d’un code de sécurité, un mot de passe ou les numéros d’une carte bancaire.
L’argument du numéro affiché ne vaut plus rien. Les escrocs utilisent le spoofing, une technique qui falsifie le numéro présenté sur l’écran du téléphone pour afficher celui du véritable service : la banque, l’opérateur, parfois un proche. La chambre commerciale de la Cour de cassation l’a constaté dans un arrêt du 23 octobre 2024, dans une affaire où la victime avait vu s’afficher le numéro de sa conseillère bancaire pendant que des escrocs lui faisaient valider des ajouts de bénéficiaires de virement. La Cour a approuvé les juges du fond d’avoir retenu que le mode opératoire par l’utilisation du spoofing avait mis la victime en confiance et diminué sa vigilance, inférieure face à un appel téléphonique émanant prétendument de sa banque à celle d’une personne qui reçoit un courriel et dispose de davantage de temps pour repérer des anomalies (arrêt n° 23-16.267). Autrement dit, même une personne prudente peut se laisser surprendre par un appel qui affiche le bon numéro : la parade consiste à raccrocher puis à rappeler soi-même le service concerné au numéro figurant sur son relevé, son contrat ou le site officiel, sans jamais utiliser le numéro, le lien ou le bouton fournis dans le message suspect.
Devant un SMS douteux, trois réflexes s’imposent. D’abord, ne pas cliquer, ne pas répondre, ne pas rappeler : toute interaction confirme aux escrocs que le numéro est actif. Ensuite, transférer le SMS au 33700, le service officiel de signalement des spams vocaux et SMS, qui centralise les signalements et fait bloquer les numéros frauduleux. Enfin, signaler la tentative sur la plateforme officielle de signalement des contenus illicites de l’internet et déposer si besoin une pré-plainte en ligne via le dispositif THESEE pour les escroqueries sur internet, avant de se rendre au commissariat ou à la gendarmerie. Ces démarches laissent une trace datée des faits, précieuse pour la suite : captures d’écran du message avec le numéro expéditeur visible, date et heure de réception, lien éventuel sans l’avoir ouvert, sommes éventuellement versées avec les relevés correspondants.
Les entreprises dont l’identité est usurpée par les fraudeurs disposent elles-mêmes d’armes judiciaires, et les victimes peuvent s’en inspirer. Par une ordonnance de référé du 9 septembre 2025, le tribunal judiciaire de Paris a ordonné à un opérateur de télécommunications de communiquer à une société l’identité civile du titulaire d’une ligne utilisée pour des manœuvres d’usurpation de son identité et des tentatives d’escroquerie, en application des règles d’identification des abonnés (ordonnance RG 25/54274). La leçon pour un particulier est directe : le numéro qui s’affiche n’est pas anonyme par fatalité, et l’enquête permet de remonter jusqu’au titulaire de la ligne litigieuse. Conserver le numéro exact, l’heure précise des appels et tout message vocal reçu aide les enquêteurs à exploiter cette voie.
B. Déposer plainte et faire qualifier les infractions
Porter plainte n’est pas une formalité : c’est ce qui déclenche l’enquête, permet le rapprochement avec d’autres dossiers et conditionne souvent la prise en charge par l’assurance ou les démarches bancaires. La plainte se dépose au commissariat ou à la gendarmerie, sur place ou après une pré-plainte en ligne. Il faut s’y présenter avec une pièce d’identité, les captures des messages, les numéros concernés, les relevés bancaires en cas de virement et la chronologie précise des faits. Lorsque la plainte vise des faits commis sur internet, le dispositif THESEE permet de signaler l’escroquerie en ligne aux policiers et gendarmes spécialisés. Dans le dossier Maileva, la société a elle-même déposé plainte et une enquête judiciaire est en cours, selon la déclaration du groupe La Poste à l’AFP : les plaintes individuelles des victimes viendront nourrir les investigations déjà ouvertes et documenter l’ampleur du préjudice.
Sur le plan pénal, les agissements des fraudeurs entrent dans plusieurs qualifications, et les comprendre aide à rédiger une plainte précise. L’usurpation d’identité est punie par l’article 226-4-1 du code pénal, qui dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » (article 226-4-1 du code pénal). Le même article précise que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. », ce qui couvre les faux sites, les faux profils et les courriels d’hameçonnage. Dès qu’un escroc utilise vos nom et adresse volés pour se faire passer pour vous auprès de votre banque ou d’un commerçant, cette qualification s’applique, et dès qu’un escroc se fait passer pour votre banque ou l’opérateur postal auprès de vous, elle s’applique à l’égard de l’organisme imité.
Quand la manœuvre vise à obtenir de l’argent, un code ou un bien, l’escroquerie s’ajoute. L’article 313-1 du code pénal punit de cinq ans d’emprisonnement et de 375 000 euros d’amende « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » (article 313-1 du code pénal). Le faux SMS annonçant des frais de livraison à régler, le faux appel du conseiller bancaire qui fait valider des bénéficiaires, le faux courriel de l’employeur qui invite à ressaisir ses identifiants : chacun de ces scénarios entre dans cette définition dès lors que la victime remet des fonds ou valide une opération sous l’effet de la tromperie. Enfin, la collecte elle-même des données par les fraudeurs est punie : l’article 226-18 du code pénal dispose que « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-18 du code pénal). Cette infraction vise les formulaires piégés et les faux sites qui moissonnent les identifiants après l’envoi du message d’hameçonnage.
Une plainte bien rédigée cite les faits dans l’ordre, sans hypothèse sur l’identité des auteurs, et joint les preuves dans leur forme d’origine. Elle mentionne le numéro expéditeur exact, le contenu du message, le lien sans cliquer dessus, les sommes et les références des opérations bancaires, ainsi que les démarches déjà accomplies comme le signalement au 33700. Elle demande expressément la délivrance d’un récépissé et, dès que le préjudice est chiffrable, la possibilité de se constituer partie civile, ce qui permettra de réclamer des dommages et intérêts dans le procès pénal. Même si les auteurs opèrent depuis l’étranger, la plainte reste utile : elle alimente les enquêtes en cours, sert de justificatif auprès de la banque et de l’assurance, et interrompt toute discussion sur une prétendue négligence exclusive de la victime.
II. Se faire rembourser et obtenir réparation
A. La banque rembourse les opérations non autorisées, sauf négligence grave qu’elle doit prouver
Après un faux SMS ou un faux appel qui a conduit à un virement ou à un paiement, la première démarche bancaire est l’opposition et la contestation écrite, sans tarder. L’article L133-24 du code monétaire et financier impose à l’utilisateur de services de paiement de signaler à son prestataire une opération non autorisée ou mal exécutée « sans tarder » et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », sauf si la banque n’a pas fourni les informations relatives à l’opération (article L133-24 du code monétaire et financier). Ce délai de treize mois est un couperet procédural : passé ce délai, la contestation devient irrecevable, même si la fraude est établie. Concrètement, dès la découverte d’un virement suspect, il faut bloquer l’instrument concerné, appeler le numéro d’opposition de sa banque, puis confirmer la contestation par écrit en conservant une preuve d’envoi.
Une fois l’opération contestée dans ce délai, la loi organise un remboursement rapide. L’article L133-18 du code monétaire et financier prévoit que le prestataire rembourse au payeur le montant de l’opération non autorisée « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur lui-même et s’il communique ces raisons par écrit à la Banque de France (article L133-18 du code monétaire et financier). Le compte doit être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. La banque ne peut donc pas faire attendre son client pendant des semaines sous prétexte d’enquête interne : le remboursement est immédiat, et c’est ensuite à elle, si elle refuse de payer, d’établir que l’opération était autorisée ou que le client a commis une faute.
La seule faute qui prive le client de ce remboursement est strictement encadrée. L’article L133-19 du code monétaire et financier met à la charge du payeur, pour les opérations consécutives à la perte ou au vol de son instrument, les pertes dans la limite de 50 euros avant opposition, mais écarte toute responsabilité du payeur quand l’opération a été effectuée sans utilisation de ses données de sécurité personnalisées ou quand la perte n’était pas détectable (article L133-19 du code monétaire et financier). Au-delà, pour refuser le remboursement d’opérations authentifiées, la banque doit démontrer une négligence grave du client, et c’est à elle d’en rapporter la preuve. La Cour de cassation l’a rappelé le 23 octobre 2024 : « il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client » (arrêt n° 23-16.267). Dans cette affaire, la banque refusait de restituer 54 500 euros en soutenant que son client avait validé lui-même les ajouts de bénéficiaires après un appel d’une fausse assistante de sa conseillère. La cour d’appel, approuvée par la Cour de cassation qui a rejeté le pourvoi de l’établissement, a jugé que la négligence grave n’était pas caractérisée : la victime croyait parler à une salariée de sa banque, validait des bénéficiaires qu’elle connaissait sur son application présentée comme sécurisée, et le spoofing avait annihilé sa vigilance. La banque a été condamnée à rembourser les 54 500 euros avec intérêts, plus 1 500 euros de dommages et intérêts pour préjudice moral.
La portée pratique de cette décision est considérable pour les victimes d’hameçonnage post-fuite. Valider une opération sous l’emprise d’une mise en scène qui affiche le vrai numéro de sa banque, cite vos nom et adresse volés dans la fuite et invoque un piratage à déjouer n’est pas, en soi, une négligence grave : c’est le mode opératoire des escrocs, et la banque doit prouver davantage qu’une simple validation pour s’exonérer. En revanche, transmettre volontairement ses codes à un inconnu identifié comme tel, ou valider une opération dont on a compris qu’elle profitait à un tiers, peut caractériser la faute. D’où la conduite à tenir : ne jamais ajouter un bénéficiaire ni valider une opération à la demande d’un appel entrant, même si le numéro affiché est celui de la banque ; raccrocher, rappeler le numéro officiel, et faire constater par écrit à la banque la contestation. Si l’établissement refuse le remboursement en invoquant une négligence grave, il faut exiger la motivation écrite du refus, saisir le médiateur bancaire, puis le juge si nécessaire, en s’appuyant sur la jurisprudence qui fait peser la preuve sur la banque.
B. Faire valoir ses droits sur ses données et obtenir l’indemnisation du préjudice
La fuite elle-même ouvre des droits distincts de la fraude qui peut suivre, et les exercer renforce toute demande ultérieure. Le règlement général sur la protection des données impose au responsable du traitement qui subit une violation de la notifier à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est probablement pas risquée pour les droits des personnes, comme le rappellent les règles publiées par la CNIL en matière de violations de données. Dans le dossier Maileva, cette notification à la CNIL a été effectuée par la société elle-même, qui a également informé les entreprises clientes concernées, conformément à la réglementation. Quand la violation présente un risque élevé pour les personnes, le responsable doit aussi les en informer directement, en des termes clairs, en décrivant la nature de la fuite, ses conséquences probables et les mesures prises. Si vous recevez ce courrier d’information, conservez-le : il prouve que vos données figurent dans le périmètre de la fuite et servira de pièce dans toutes vos démarches.
Chaque personne concernée peut ensuite agir auprès de l’autorité et en justice. Le règlement européen, en son article 77, ouvre à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier celle de sa résidence habituelle, si elle estime que le traitement de ses données viole le texte. En France, cette réclamation se fait auprès de la CNIL, via le service de plainte en ligne, en joignant le courrier d’information reçu, les messages frauduleux ultérieurs et tout justificatif du préjudice. Parallèlement, les droits d’accès, de rectification, d’effacement et d’opposition permettent d’exiger des organismes qui détiennent vos coordonnées volées qu’ils vous indiquent ce qu’ils conservent, corrigent les données inexactes et suppriment celles dont la conservation n’est plus justifiée. Ces demandes s’adressent par écrit au délégué à la protection des données de l’organisme, dont les coordonnées figurent dans sa politique de confidentialité.
L’indemnisation du préjudice obéit à un double fondement. D’abord, l’article 82 du règlement (UE) 2016/679 sur la protection des données ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation de son préjudice auprès du responsable du traitement ou du sous-traitant. Le texte vise expressément le préjudice moral : l’angoisse durable de savoir ses nom et adresse entre les mains d’escrocs, le temps passé à sécuriser ses comptes, les démarches répétées auprès de la banque et des administrations constituent un préjudice réparable dès lors qu’il est documenté. Ensuite, le droit commun de la responsabilité s’applique : l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil). Cette responsabilité pour faute permet d’agir contre l’auteur de la fuite comme contre les escrocs identifiés, et de réclamer la réparation intégrale des pertes financières non remboursées, du préjudice moral et des frais engagés.
En pratique, la stratégie gagnante combine les voies sans les confondre. La plainte pénale documente la fraude et ouvre la voie à des dommages et intérêts devant le juge répressif. La contestation bancaire diligente, dans le délai de treize mois et au mieux dans les jours qui suivent, déclenche le remboursement immédiat par l’établissement. La réclamation à la CNIL fait constater la violation et peut déboucher sur des sanctions contre le responsable défaillant, tandis que l’action civile, fondée sur l’article 82 du règlement et l’article 1240 du code civil, réclame la réparation du préjudice moral et des pertes résiduelles. Chaque courrier, chaque récépissé, chaque capture d’écran compte : dans ce contentieux, la victime qui documente méthodiquement l’enchaînement entre la fuite notifiée, les messages frauduleux reçus et les sommes détournées se donne les moyens d’obtenir une réparation complète.
Conclusion
Le vol des coordonnées de 22 millions de personnes via la plateforme Maileva, reconnu par le groupe La Poste le 14 novembre 2026 avec notification de la CNIL, plainte et enquête judiciaire en cours, ne s’arrête pas à la fuite : il alimente pendant des mois des campagnes de faux SMS, de faux appels et de faux courriels qui citent vos nom et adresse pour mieux tromper votre vigilance. Face à ces messages, les bons réflexes sont simples et juridiquement fondés : ne jamais valider un code ni un bénéficiaire à la demande d’un appel entrant, transférer les SMS suspects au 33700, signaler les tentatives en ligne, déposer plainte pour usurpation d’identité et escroquerie en conservant toutes les preuves, contester par écrit toute opération bancaire non autorisée dans le délai de treize mois, exiger le remboursement immédiat que la banque ne peut refuser qu’en prouvant une négligence grave, et faire valoir auprès de la CNIL et du juge le droit à réparation du préjudice matériel et moral. La jurisprudence protège la victime manipulée par un numéro usurpé, la loi impose au banquier de payer d’abord et de prouver ensuite, et le règlement européen indemnise l’angoisse comme la perte : à condition d’agir vite, par écrit, et de tout conserver.