Un service saturé, pas un compte compromis

À partir du 22 décembre 2025, le groupe La Poste a signalé un incident de type déni de service qui rendait ses services en ligne inaccessibles ou instables depuis Internet. Les perturbations ont traversé les fêtes de fin d’année et l’attaque se poursuivait encore le 1er janvier 2026, selon les mises à jour du groupe.

Un DDoS, ou déni de service distribué, cherche à rendre un service indisponible en dirigeant vers lui un volume important de requêtes. La Poste a décrit des milliards de tentatives de connexion par seconde et des millions d’adresses IP impliquées. Le groupe a mobilisé ses équipes pour rétablir l’accès aux services, tandis que certaines activités physiques continuaient.

Ce que La Poste a confirmé — et ce qu’elle n’a pas

Dans ses points de situation, La Poste indique que l’incident n’a pas entraîné de fuite de données clients. Dans l’entretien publié le 22 janvier 2026, son directeur de la sécurité globale indique également qu’il n’y a eu ni intrusion dans les systèmes ni fuite de données.

Cette distinction est importante : un service peut être indisponible sans que les données aient été consultées ou copiées. À l’inverse, l’absence de fuite annoncée pour cet incident ne permet pas de généraliser à d’autres types d’attaques. Les termes décrivent ici le bilan communiqué par l’organisation.

Le retour d’expérience opérationnel

La continuité dépend de plusieurs éléments : détecter rapidement l’augmentation du trafic, filtrer et absorber la charge, communiquer l’état des services et maintenir les fonctions essentielles. La Poste souligne également la coordination entre ses équipes techniques, les autorités et les métiers.

Pour une équipe produit, le cas invite à cartographier ce qui doit rester disponible en premier, à identifier les dépendances réseau et à préparer des communications de statut. Ce sont des principes généraux tirés du type d’incident; ils ne constituent pas un audit des mesures internes de La Poste.

Sources de La Poste

À lire aussi