Consulter Masquer le sommaire
- Zéro Logement Vacant visé par une fuite massive de données
- Des noms, adresses et dates de naissance dans les échantillons
- Pourquoi 149 millions de lignes ne signifient pas 149 millions de victimes
- Un même propriétaire peut apparaître plusieurs fois
- Pourquoi Zéro Logement Vacant possède autant de données sur les propriétaires
- Une partie des informations provient de données fiscales
- Des comptes d’agents apparaissent également dans les données
- Des informations datées de seulement quelques jours
- Comment le hacker affirme-t-il avoir pénétré la plateforme ?
- Que risquent maintenant les propriétaires concernés ?
- De fausses démarches immobilières beaucoup plus difficiles à repérer
- Le véritable bilan reste maintenant à établir
Zéro Logement Vacant visé par une fuite massive de données
Une nouvelle plateforme numérique de l’État français se retrouve au cœur d’une affaire de cybersécurité.
Ce samedi 29 août, le hacker ZeroBytes a revendiqué le piratage de Zéro Logement Vacant, un service utilisé par les collectivités pour identifier les logements vacants et contacter leurs propriétaires.
L’attaquant affirme avoir récupéré 148 929 194 lignes de données. Ce chiffre impressionnant ne signifie toutefois pas que 149 millions de personnes ont été piratées.
La base contient notamment plusieurs enregistrements concernant les mêmes individus.
Des noms, adresses et dates de naissance dans les échantillons
Des échantillons examinés après la revendication contiennent effectivement des données personnelles.
On y retrouve notamment des noms, des dates de naissance, des adresses postales et différentes informations relatives à la propriété immobilière. Certains extraits comportent également des numéros de téléphone et des adresses électroniques.
Ces éléments renforcent la crédibilité de la fuite. Ils ne permettent cependant pas encore de confirmer l’intégralité des chiffres avancés par ZeroBytes.
Pourquoi 149 millions de lignes ne signifient pas 149 millions de victimes
C’est probablement le chiffre qui circulera le plus autour de cette cyberattaque.
ZeroBytes estime que les 148,9 millions de lignes correspondraient à environ 47,9 millions d’identifiants individuels distincts après suppression d’une partie des doublons.
Cette estimation reste néanmoins celle du hacker.
Un même propriétaire peut apparaître plusieurs fois
Une personne peut posséder plusieurs logements. Elle peut également figurer dans différents fichiers ou plusieurs versions annuelles d’une même base.
Une ligne informatique ne correspond donc pas nécessairement à une personne supplémentaire.
Le nombre exact de propriétaires réellement concernés devra être établi après l’analyse complète des fichiers et des systèmes touchés.
Pourquoi Zéro Logement Vacant possède autant de données sur les propriétaires
Le nom du service peut donner l’impression d’un simple outil répertoriant les logements vides.
Son fonctionnement est beaucoup plus large.
Zéro Logement Vacant aide les collectivités et les services de l’État à identifier certains logements inoccupés et à entrer en contact avec leurs propriétaires. Pour cela, la plateforme utilise notamment des informations provenant des fichiers fonciers et de la base LOVAC.
Une partie des informations provient de données fiscales
C’est le point le plus intéressant de cette affaire.
Les données LOVAC sont notamment construites à partir de sources fiscales et d’informations déclarées par les propriétaires concernant leurs biens immobiliers.
Cela explique pourquoi des données associées à des propriétaires peuvent se retrouver dans l’environnement technique de Zéro Logement Vacant.
Cette nouvelle affaire intervient quelques jours après le piratage de la DGFiP et les interrogations sur l’origine des accès.
Les deux affaires ne doivent pourtant pas être confondues. La présence de données d’origine fiscale dans Zéro Logement Vacant ne signifie pas que ZeroBytes a de nouveau pénétré directement les serveurs des impôts.
Les informations étaient déjà utilisées par cette plateforme dans le cadre de ses missions.
Des comptes d’agents apparaissent également dans les données
La fuite pourrait concerner davantage que les propriétaires.
Les échantillons examinés contiennent également des données associées aux utilisateurs professionnels de la plateforme : agents de collectivités, services de l’État ou partenaires disposant d’un compte.
Des adresses professionnelles, des rôles utilisateurs, des établissements de rattachement et certaines informations de connexion apparaissent dans les fichiers.
Des informations datées de seulement quelques jours
Un détail attire particulièrement l’attention.
Certains comptes affichent des connexions datant du 25 août 2026. Un autre extrait ferait même apparaître une demande de création de compte du 26 août.
Cela suggère que l’attaquant aurait récupéré des informations très récentes.
Ces éléments ne permettent toutefois pas de déterminer depuis combien de temps le système était compromis ni si le pirate conservait encore un accès lors de la publication des données.
Comment le hacker affirme-t-il avoir pénétré la plateforme ?
ZeroBytes a également livré son propre récit technique.
Il affirme avoir obtenu l’accès à un outil permettant de consulter les bases de données. Une session disposant de privilèges importants lui aurait ensuite permis de récupérer des informations de connexion donnant accès à d’autres systèmes.
Cette version n’a pas encore été confirmée indépendamment.
Les investigations devront donc déterminer précisément le point d’entrée, les droits obtenus et la quantité de données réellement copiées.
Que risquent maintenant les propriétaires concernés ?
Pour une victime, le principal danger ne se trouve pas forcément dans les fichiers eux-mêmes.
Le problème apparaît lorsque les données commencent à être réutilisées.
Un escroc disposant du véritable nom d’un propriétaire, de son adresse et d’informations concernant son logement peut construire un message particulièrement crédible.
De fausses démarches immobilières beaucoup plus difficiles à repérer
Un fraudeur pourrait se présenter comme une mairie, l’administration fiscale, un professionnel de l’immobilier ou un organisme chargé du logement.
Le message pourrait contenir de vraies informations personnelles afin d’inspirer confiance avant de demander un paiement, des coordonnées bancaires ou une connexion à un faux site.
Le même risque existe après d’autres grandes fuites récentes. Nous l’avions notamment expliqué après la cyberattaque ayant exposé des millions de données médicales sur Alaxione.
Les cybercriminels peuvent aussi croiser plusieurs bases pour compléter progressivement le profil d’une victime.
Le véritable bilan reste maintenant à établir
L’affaire Zéro Logement Vacant possède donc deux dimensions.
La première concerne la sécurité d’une plateforme publique et la manière dont un attaquant aurait pu accéder à des données aussi nombreuses.
La seconde touche directement les propriétaires dont les informations peuvent désormais circuler.
Le chiffre de 149 millions de lignes attire forcément l’attention. Mais la question la plus importante reste beaucoup plus simple : combien de personnes ont réellement été exposées et quelles informations les concernant se trouvent aujourd’hui hors du contrôle de l’État ?
