Un collègue postier clique sur un lien reçu par SMS, tombe sur une page de connexion au Portail Malin avec le bon logo, les bons champs, les bonnes couleurs. Il tape son identifiant RH et son mot de passe. La page renvoie une erreur. Trop tard : ses données sont parties.
Ce scénario se reproduit régulièrement depuis que le Portail Malin de La Poste a été définitivement fermé le 1er janvier 2026. Toute page qui propose encore une connexion au Portail Malin est soit obsolète, soit frauduleuse.
Portail Malin fermé depuis 2026 : pourquoi les faux sites persistent
Le Portail Malin permettait aux postiers d’accéder à leurs avantages sociaux et culturels via le COGAS. Depuis le transfert des activités vers les CSE-E, l’infrastructure d’authentification a été désactivée. Les anciennes URL (www.portail-malin.com, eas.portail-malin.com) ne mènent plus nulle part.
Le problème, c’est que des clones de l’ancienne interface continuent de circuler. Ils recyclent le design du portail malin pour collecter des identifiants RH, des adresses mail, parfois des informations bancaires. On tombe dessus via des résultats sponsorisés dans les moteurs de recherche ou des liens envoyés par SMS et par mail.
La convergence entre MaBoxRH, GTm Extranet et le Portail Malin, engagée en 2024, a multiplié les parcours de connexion. Beaucoup d’agents ne savent plus quelle URL est la bonne. C’est précisément ce flou que les faux sites exploitent.
Anatomie d’un faux site de connexion : ce qu’on vérifie avant de taper quoi que ce soit
Un faux portail bien construit reproduit le logo La Poste, la mise en page de MaBoxRH, et parfois même un faux cadenas dans la barre d’adresse. On ne peut pas se fier à l’apparence seule.
URL et certificat SSL
La première chose à contrôler, c’est l’URL dans la barre du navigateur. Un site légitime de La Poste utilise un domaine en laposte.fr ou en 2.laposte.fr. Un faux site emploiera un domaine proche mais différent : laposte-connexion.com, portail-malin-rh.fr, ou une variante avec des tirets supplémentaires.
Le cadenas SSL seul ne garantit rien. Un certificat SSL peut être obtenu gratuitement par n’importe qui. Ce qu’on vérifie, c’est le nom de domaine exact affiché à côté du cadenas, pas la simple présence du cadenas.
Demandes inhabituelles sur la page de connexion
Un portail RH légitime ne demande jamais de données bancaires, de numéro de carte ou de code SMS de validation lors de la connexion. Si la page affiche un champ qui n’existait pas avant (numéro de sécurité sociale, IBAN, code reçu par SMS), on ferme l’onglet immédiatement.
Autre indice concret signalé dans les retours terrain : le clavier virtuel sonore présent sur le vrai GTm Extranet. Si la page de connexion n’affiche pas ce clavier alors qu’on y est habitué, c’est un signal d’alerte.
Phishing par SMS et mail ciblant les agents La Poste
Les campagnes de phishing qui ciblent les postiers ne sont pas génériques. Elles reprennent le vocabulaire interne (MaBoxRH, identifiant RH, COGAS) et arrivent souvent sous forme de SMS courts avec un ton d’urgence : « Votre accès expire dans 24h », « Mettez à jour vos coordonnées RH ».
Au premier semestre 2026, la France se classait au deuxième rang mondial pour les tentatives d’arnaques au faux support technique, avec 2,54 millions de tentatives bloquées selon l’éditeur de sécurité Gen. Les faux portails de connexion s’inscrivent dans cette tendance.
Une recommandation interne diffusée depuis 2024 est claire : ne jamais accéder à GTm Extranet ou MaBoxRH via un moteur de recherche. On passe par un favori enregistré dans le navigateur ou on tape directement l’URL connue (2.laposte.fr).
Liste de contrôle avant toute saisie d’identifiant sur un portail La Poste
Avant de saisir le moindre mot de passe, on passe par ces vérifications :
- Le domaine affiché dans la barre d’adresse se termine bien par laposte.fr ou 2.laposte.fr, sans caractère supplémentaire ni sous-domaine suspect
- La page ne demande aucune information inhabituelle (coordonnées bancaires, code SMS, numéro de carte)
- On n’a pas accédé au site via un lien reçu par SMS, par mail ou via un résultat sponsorisé dans un moteur de recherche
- Le navigateur est à jour et les extensions potentiellement intrusives sont désactivées (certaines injectent du contenu dans les pages de connexion)
- En cas de doute, on ouvre une fenêtre de navigation privée et on tape l’URL manuellement
Réagir après avoir saisi ses identifiants sur un faux site
Si on réalise après coup qu’on a tapé son mot de passe sur une page suspecte, la réaction doit être rapide. Changer immédiatement le mot de passe depuis le vrai portail MaBoxRH est la priorité. Si le même mot de passe est utilisé ailleurs (messagerie personnelle, autres services), on le change aussi.
On signale l’incident au service informatique interne de La Poste. Pour les faux sites en général, la plateforme THESEE du ministère de l’Intérieur permet de déposer une plainte en ligne pour escroquerie sur internet.
Les retours varient sur ce point, mais certains agents recommandent aussi de vérifier les connexions récentes sur son compte mail La Poste : un accès non reconnu depuis une localisation inhabituelle confirme la compromission.
Protections complémentaires à mettre en place
- Activer la double authentification sur tous les services qui la proposent, en particulier la messagerie
- Enregistrer l’URL légitime de MaBoxRH en favori et ne jamais passer par un moteur de recherche pour y accéder
- Signaler tout SMS ou mail suspect à l’adresse de signalement interne, même sans avoir cliqué
Le Portail Malin n’existe plus. Toute page qui en porte le nom en 2026 est un leurre. Le réflexe le plus fiable reste le favori enregistré : pas de recherche Google, pas de clic sur un lien reçu, juste une URL vérifiée une fois et conservée dans le navigateur.
