Un attacco hacker ha colpito Maileva, filiale del gruppo La Poste, e ha portato al furto di nomi, cognomi e indirizzi postali di 22 milioni di persone, circa un terzo della popolazione francese. L’intrusione risale a metà settembre. Il gruppo l’ha resa pubblica soltanto oggi, con una dichiarazione all’agenzia France-Presse.

Secondo La Poste, Maileva «ha notificato la Commissione nazionale per l’informatica e le libertà (Cnil) e presentato una denuncia. È in corso un’indagine giudiziaria». La Cnil è l’autorità francese per la protezione dei dati personali. Il gruppo ha così confermato quanto pubblicato dai siti specializzati cyberattaque.org e FrenchBreaches, che parlano di «una delle più importanti fughe di dati in Francia».

Attacco hacker a Maileva, la posta di migliaia di enti in un solo sistema

Maileva è una piattaforma per l’invio di corrispondenza professionale: buste paga, raccomandate, fatture, convocazioni di assemblee. Fa capo a Docaposte, a sua volta controllata da La Poste, e lavora soprattutto per piccole e medie imprese. Dichiara oltre 70mila utenti e 180 milioni di documenti spediti nel 2024.

Le persone coinvolte sono i destinatari delle lettere spedite dalle organizzazioni che si appoggiano alla piattaforma. Secondo cyberattaque.org, i clienti colpiti sono diverse migliaia, in particolare nell’edilizia sociale, nella sanità e nei servizi pubblici. Stando a quanto riportato dal sito, fra loro figurano enti di case popolari, laboratori di analisi, ospedali, reti di trasporto e amministrazioni, che usano Maileva anche per documenti riservati e solleciti di pagamento.

Il dato rilevante riguarda l’architettura. Un solo fornitore concentra la corrispondenza di migliaia di soggetti pubblici e privati. Una sola breccia li espone tutti insieme.

Furto di dati La Poste: che cosa hanno sottratto gli hacker

La Poste parla di «esposizione delle coordinate (nome, cognome, indirizzo postale) di 22 milioni di persone, destinatari delle aziende clienti di Maileva». Alcune testate tecnologiche francesi avevano scritto in un primo momento di indirizzi email: la dichiarazione ufficiale indica gli indirizzi postali.

Per alcuni clienti il perimetro è più ampio. È il caso di Flandre Opale Habitat, ente di edilizia sociale. Secondo cyberattaque.org, i dati potenzialmente compromessi comprendono identità e recapiti degli inquilini, numeri cliente, informazioni sull’alloggio ed elementi amministrativi o finanziari, come gli importi delle fatture. Nei commenti al sito Clubic, un utente che si presenta come responsabile della protezione dati di un’azienda cliente sostiene che sarebbero stati sottratti anche i contenuti delle lettere.

Con questi elementi diventa possibile confezionare false lettere e falsi solleciti di pagamento. Una richiesta che arriva a nome del proprio ente di case popolari, con indirizzo esatto, numero cliente e importo dell’ultima bolletta, è molto più difficile da riconoscere di una email generica.

La Poste, due mesi fra l’attacco e l’annuncio pubblico

Secondo la ricostruzione di Clubic, Maileva aveva sospeso le attività il 23 settembre, prima di confermare l’attacco. La Poste precisa che, «conformemente alla normativa, tutte le aziende interessate sono state informate dell’incidente».

La formula descrive una catena precisa. Nel sistema del Regolamento europeo sulla protezione dei dati (Gdpr), il fornitore che tratta dati per conto terzi avvisa i clienti; sono poi questi, in qualità di titolari, a dover informare l’autorità e, in caso di rischio elevato, le persone coinvolte. La responsabilità si frammenta fra migliaia di soggetti. Il risultato è che i 22 milioni scoprono la vicenda dalla stampa, due mesi dopo. I curatori di cyberattaque.org rivendicano di aver dato conto della violazione già all’inizio di ottobre.

Attacchi hacker in Francia e in Europa, una sequenza che si ripete

L’episodio si inserisce in una serie lunga. L’anno scorso, a pochi giorni da Natale, La Poste era stata colpita da un attacco rivendicato da hacker filorussi: un DDoS, cioè la saturazione dei server con un volume di richieste impossibile da gestire. All’inizio del 2024 France Travail, l’agenzia pubblica per l’impiego, aveva subito una violazione con un rischio di divulgazione per i dati di 43 milioni di persone. La settimana scorsa Crédit Mutuel Arkéa ha dichiarato di essere stato bersaglio di un attacco nell’ordine dei 100 milioni di euro. La stampa francese legge questi episodi dentro il quadro della guerra ibrida che investe l’Europa, fra sabotaggi, incursioni informatiche e agenti al servizio di potenze rivali.

Fuori dalla Francia lo schema si ripete: i dati dei clienti di Trenitalia, gli attacchi a Deutsche Bahn, i sistemi di refrigerazione di centinaia di supermercati francesi manomessi sfruttando dispositivi non aggiornati. Il filo comune è fatto di vulnerabilità note, sistemi datati e fornitori che accentrano funzioni critiche. Ogni nuovo caso viene gestito come un incidente a sé, con denunce e notifiche, mentre le architetture restano quelle di prima.

Chi può avere interesse ai dati di 22 milioni di francesi

Le piste possibili sono due, e i dati rubati si prestano a entrambe. Per i gruppi criminali un archivio di nomi e indirizzi legati a case popolari, sanità e servizi pubblici vale denaro: si rivende sui mercati clandestini e alimenta truffe mirate. Per attori statali o parastatali la stessa base dati è uno strumento di mappatura della popolazione e, potenzialmente, di destabilizzazione: falsi avvisi di enti pubblici recapitati in massa possono generare confusione e sfiducia su larga scala. Il precedente filorusso contro La Poste dimostra che il gruppo è già finito nel mirino di soggetti con motivazioni politiche.

Digitalizzazione della posta pubblica, il rischio della concentrazione

Affidare la corrispondenza di ospedali, enti di case popolari e amministrazioni a poche piattaforme esterne è una scelta politica e gestionale, presentata come efficienza. Ogni piattaforma di questo tipo diventa però un bersaglio unico, che vale milioni di persone. I principi difensivi sono noti da anni: minimizzazione dei dati, conservazione limitata nel tempo, separazione fra i clienti perché una breccia non apra l’intero archivio.

Una password si cambia in pochi minuti. Un nome e un indirizzo restano gli stessi: per i 22 milioni di destinatari di Maileva il rischio di ricevere lettere false, con dati veri, dura finché abitano in quella casa.