« Zéro Logement Vacant » mis hors ligne après une revendication de fuite massive

Le service numérique de l’État « Zéro Logement Vacant » était inaccessible dimanche, quelques heures après la revendication d’une fuite massive de données par le groupe de pirates ZeroBytes. Sollicité par l’AFP, le ministère de la Ville et du Logement n’avait pas souhaité communiquer à ce stade.

L’incident a été révélé par French Breaches, un site spécialisé dans le suivi des cyberattaques en France. Selon les éléments publiés par ce dernier, ZeroBytes affirme avoir accédé à l’infrastructure de la plateforme et extrait 148.929.194 enregistrements bruts.

Cette revendication n’a toutefois pas encore été confirmée par une analyse indépendante ou par les services de l’État. La nature exacte de l’éventuelle intrusion, le volume réellement copié et le nombre de personnes concernées restent donc à établir.

Un outil destiné aux collectivités et aux services de l’État

Contrairement à ce que son nom pourrait laisser penser, « Zéro Logement Vacant » n’est pas une plateforme proposant des logements aux particuliers. Il s’agit d’un outil public permettant aux collectivités territoriales et aux services de l’État d’identifier les logements durablement inoccupés.

Le dispositif doit notamment faciliter la prise de contact avec les propriétaires afin de comprendre les causes de la vacance et de favoriser la remise des biens sur le marché.

Pour remplir cette mission, la plateforme traite des informations relatives aux logements, à leurs propriétaires ainsi qu’aux démarches engagées par les collectivités. La sensibilité de ces données explique l’inquiétude suscitée par la revendication de ZeroBytes.

149 millions de lignes ne signifient pas 149 millions de victimes

Le chiffre avancé par les pirates doit être interprété avec prudence. Il correspondrait à un ensemble de lignes brutes et non dédupliquées, et non à 149 millions de comptes ou de personnes distinctes.

Une même personne peut apparaître plusieurs fois dans les bases, notamment lorsqu’elle possède plusieurs biens ou lorsque ses informations figurent dans différents fichiers administratifs.

D’après French Breaches, les données revendiquées comprendraient environ 82 millions d’enregistrements liés à des propriétaires et près de 67 millions de lignes provenant d’un fichier associé à la DGFiP et à DataFoncier. Quelques milliers de comptes d’utilisateurs de la plateforme seraient également présents dans les fichiers.

ZeroBytes avance plusieurs estimations du nombre de personnes uniques, mais les méthodes de déduplication employées produisent des résultats très différents. Ces chiffres ne permettent donc pas de déterminer de manière fiable le nombre de victimes potentielles.

Des données personnelles et immobilières potentiellement exposées

Selon la revendication, les fichiers pourraient contenir des noms et prénoms, des dates de naissance, des adresses postales ainsi que des identifiants associés aux propriétaires et aux biens immobiliers. Des coordonnées électroniques et téléphoniques apparaîtraient aussi dans certaines tables.

Les pirates disent également avoir récupéré des informations liées à environ 3.500 comptes utilisateurs de « Zéro Logement Vacant », dont des empreintes cryptographiques de mots de passe. Une empreinte cryptographique n’est pas un mot de passe directement lisible, mais son exposition peut néanmoins constituer un risque, notamment en cas de réutilisation d’un même mot de passe sur plusieurs services.

Des informations techniques relatives au fonctionnement de la plateforme auraient aussi été compromises. Leur contenu, leur validité actuelle et leur éventuelle neutralisation n’ont pas été confirmés.

Une éventuelle nouvelle intrusion à la DGFiP non démontrée

ZeroBytes avait précédemment revendiqué des accès illégitimes au système d’information de la Direction générale des finances publiques. La DGFiP a depuis confirmé la consultation et l’extraction de données concernant 678.000 particuliers et professionnels à la suite d’intrusions intervenues en juin, juillet et août 2026.

Il convient néanmoins de distinguer les deux affaires. La présence supposée de données issues de la DGFiP dans les bases de « Zéro Logement Vacant » ne prouve pas que les pirates ont de nouveau pénétré directement dans les systèmes de l’administration fiscale. Un service public peut disposer légalement de fichiers provenant d’autres administrations pour exercer ses missions.

Seules les investigations techniques pourront déterminer si les deux incidents sont liés et identifier précisément le chemin emprunté pour accéder aux données revendiquées.

Un risque accru de tentatives d’escroquerie

Si la fuite est confirmée, le principal risque pour les propriétaires et les utilisateurs de la plateforme serait l’apparition de tentatives d’hameçonnage ou d’appels frauduleux particulièrement crédibles.

La combinaison d’informations personnelles et immobilières pourrait permettre à des fraudeurs de se faire passer pour une administration, une collectivité, un professionnel de l’immobilier ou un organisme chargé du logement.

Dans l’attente d’une communication officielle, les personnes recevant un message inhabituel relatif à leur logement ou à leur situation fiscale doivent éviter de transmettre des identifiants, des mots de passe, des coordonnées bancaires ou des documents d’identité. Il est également recommandé d’accéder directement aux sites administratifs, sans utiliser les liens contenus dans des courriels ou des SMS non sollicités.

Des investigations attendues pour mesurer l’incident

Plusieurs questions restent ouvertes : la revendication correspond-elle à une extraction complète ou partielle des bases ? Combien de propriétaires et d’utilisateurs sont réellement concernés ? Les données sont-elles récentes ? Les accès techniques ont-ils été neutralisés ?

En cas de violation avérée, l’organisme responsable devra en mesurer les conséquences, effectuer les notifications réglementaires nécessaires et informer les personnes concernées lorsque le niveau de risque l’exige.

La communication du ministère du Logement sera donc déterminante pour confirmer ou infirmer les affirmations de ZeroBytes et préciser les mesures prises pour sécuriser la plateforme.