Ce qu’il faut retenir

• ZeroBytes revendique une intrusion contre Zéro Logement Vacant.
• La plateforme est un service numérique public rattaché au ministère chargé du Logement.
• Le pirate affirme avoir exfiltré près de 149 millions de lignes brutes.
• Il revendique un fichier correspondant à environ 48 millions de personnes distinctes.
• Ce chiffre n’est pas encore confirmé par l’État.
• Les données pourraient comprendre identités, dates de naissance, adresses et informations sur les propriétés.
• ZeroBytes dit avoir utilisé un compte administrateur encore valide.
• Le groupe avait déjà revendiqué les intrusions contre la DGFiP.
• Les données peuvent faciliter des campagnes de phishing extrêmement ciblées.

ZeroBytes frappe encore un service de l’État

Le nom commence malheureusement à devenir familier.

ZeroBytes, déjà au centre des revendications concernant le piratage des Impôts pendant l’été, affirme avoir compromis une nouvelle plateforme publique.

Cette fois, la cible est Zéro Logement Vacant.

Le service permet aux collectivités et services de l’État d’identifier les logements privés inoccupés afin de contacter leurs propriétaires et tenter de les remettre sur le marché.

Qu’est-ce que Zéro Logement Vacant ?

La plateforme officielle explique qu’elle centralise plusieurs sources de données, notamment :

• les Fichiers Fonciers ;
• les données LOVAC ;
• des informations énergétiques concernant les logements ;
• des données permettant aux collectivités de contacter les propriétaires.

Sa politique de confidentialité mentionne notamment le traitement du nom, du prénom, de l’adresse postale, de l’adresse électronique et du numéro de téléphone de certains propriétaires.

Le service est utilisé par plus de 1 000 collectivités et couvre aujourd’hui une très large partie du territoire.

Près de 149 millions de lignes revendiquées

ZeroBytes affirme avoir récupéré exactement plusieurs énormes ensembles de données stockés dans l’environnement de Zéro Logement Vacant.

Le total annoncé approche 149 millions d’enregistrements bruts.

Attention : cela ne signifie absolument pas que 149 millions de Français sont concernés.

Une même personne peut apparaître plusieurs fois lorsqu’elle possède différents biens, différents droits fonciers ou plusieurs adresses enregistrées dans les bases.

Le pirate affirme qu’après dédoublonnage, l’un des fichiers contiendrait environ 48 millions de personnes différentes.

48 millions de victimes ? Ce n’est pas encore confirmé

C’est le point le plus important.

Le chiffre de 48 millions provient du cybercriminel lui-même.

Au moment où nous publions cet article, le ministère n’a pas confirmé publiquement cette estimation.

01net indique également qu’aucun expert indépendant n’avait encore authentifié l’intégralité des échantillons présentés par ZeroBytes.

Le site Zéro Logement Vacant est devenu inaccessible pendant le week-end, mais cette indisponibilité ne constitue pas à elle seule une preuve de l’ampleur revendiquée.

Quelles données pourraient avoir fuité ?

Selon les échantillons et les revendications rapportées, les données potentiellement exposées comprennent :

• noms et prénoms ;
• dates de naissance ;
• adresses postales ;
• identifiants fonciers et cadastraux ;
• informations sur les droits de propriété ;
• dans certains ensembles, adresses électroniques et numéros de téléphone.

Ces données seraient particulièrement sensibles lorsqu’elles sont regroupées dans un fichier unique.

Elles permettent en effet de relier une identité réelle, une adresse et un patrimoine immobilier.

Tous les propriétaires français peuvent-ils être concernés ?

La plateforme s’appelle Zéro Logement Vacant, mais la fuite revendiquée ne concernerait pas uniquement les propriétaires de logements actuellement vides.

ZeroBytes affirme avoir récupéré une édition 2024 d’un fichier foncier national présent sur les serveurs.

Cela expliquerait pourquoi le nombre revendiqué est très supérieur aux quelque trois millions de logements privés vacants recensés actuellement.

Un propriétaire peut également détenir un terrain, un garage, un local commercial ou différents droits sur plusieurs biens.

Une attaque par compte administrateur compromis

Le pirate affirme ne pas avoir eu besoin d’exploiter une vulnérabilité extrêmement sophistiquée.

Il dit avoir découvert un accès à Metabase, l’outil d’analyse utilisé par la plateforme, puis utilisé les identifiants d’un compte administrateur encore valide.

Cette version n’a pas encore été confirmée par l’administration.

Elle rappelle néanmoins un problème déjà observé dans plusieurs grandes cyberattaques : des identifiants compromis peuvent suffire à contourner de nombreuses protections lorsqu’ils donnent accès à des systèmes internes trop permissifs.

Le même groupe avait déjà revendiqué le piratage des Impôts

Cette nouvelle affaire intervient seulement quelques semaines après les intrusions visant la Direction générale des Finances publiques.

Dans ce précédent dossier, la situation est beaucoup plus claire puisque la DGFiP a officiellement confirmé des accès frauduleux et estime que 678 000 particuliers et professionnels sont concernés.

Vous pouvez retrouver notre suivi complet dans l’article Impôts piratés : comment savoir si vos données font partie de la fuite ?.

ZeroBytes avait revendiqué ces intrusions avant de s’attribuer d’autres attaques contre des organismes publics.

Le risque principal : des arnaques particulièrement crédibles

Une base reliant une personne à son patrimoine immobilier est extrêmement utile pour les escrocs.

Un fraudeur peut connaître l’adresse exacte d’un bien et utiliser cette information pour donner de la crédibilité à un faux message.

Des campagnes pourraient par exemple usurper :

• la DGFiP ;
• le service des impôts fonciers ;
• une mairie ;
• un notaire ;
• une agence immobilière ;
• un fournisseur d’énergie.

Avec la période de paiement de la taxe foncière, un faux courrier mentionnant précisément l’adresse d’un bien pourrait être beaucoup plus convaincant qu’un phishing traditionnel.

Que faire si vous êtes propriétaire ?

Il n’existe actuellement aucun outil officiel permettant de vérifier si votre identité figure dans les données revendiquées.

Évitez donc les sites qui vous proposent de saisir votre nom, numéro fiscal ou d’autres informations personnelles pour effectuer une prétendue vérification.

La CNIL recommande déjà de se méfier des services privés qui compilent ou prétendent rechercher des données volées.

La meilleure protection consiste pour l’instant à considérer comme suspect tout message inattendu concernant vos impôts ou vos propriétés, même lorsqu’il contient des informations exactes sur vous.

Une nouvelle alerte sérieuse, mais pas encore 48 millions de victimes confirmées

Les éléments disponibles rendent la revendication suffisamment sérieuse pour justifier une forte vigilance.

Zéro Logement Vacant manipule effectivement des données foncières et personnelles, le service a été inaccessible et ZeroBytes a publié des informations présentées comme issues de son infrastructure.

Mais il reste essentiel de séparer les faits établis des affirmations du pirate.

À ce jour, nous pouvons parler d’une cyberattaque revendiquée et potentiellement massive. Nous ne pouvons pas encore affirmer officiellement que 48 millions de Français ont vu leurs données compromises.

TechPi mettra ce dossier à jour dès que le ministère, la CNIL ou l’ANSSI publiera un bilan vérifié.

Sources

• Zéro Logement Vacant — fonctionnement officiel de la plateforme
• Zéro Logement Vacant — données personnelles traitées
• 01net — revendication de ZeroBytes
• DGFiP — précédent vol de données

L’article Nouvelle fuite d’État : ZeroBytes revendique les données de 48 millions de propriétaires est apparu en premier sur TechPi.