Le repaire des milléniaux !
Illustration du piratage revendiqué de Zéro Logement Vacant par ZeroBytes avec données personnelles et immobilières sensibles
Cybersécurité Non classé

Zéro Logement Vacant piraté : combien de fuites faudra-t-il avant que l’État protège vraiment nos données ?

par |Publié

Je commence à avoir l’impression d’écrire toujours le même article. Cette fois, c’est Zéro Logement Vacant, le service numérique de l’État destiné aux collectivités et aux services publics travaillant sur la vacance des logements, qui se retrouve au centre d’une nouvelle affaire de fuite de données. Le groupe ZeroBytes revendique avoir compromis la plateforme et extrait près de 148,9 millions de lignes de données.

Avant d’aller plus loin, précisons immédiatement quelque chose : cela ne signifie absolument pas que 149 millions de Français ont été piratés. Ce chiffre correspond, selon les attaquants, à des lignes brutes issues de plusieurs tables comportant énormément de doublons, et le nombre réel de personnes concernées n’est pas encore établi officiellement.

Mais même débarrassée du chiffre spectaculaire, cette affaire reste extrêmement préoccupante. Et je l’avoue : elle m’agace. Parce qu’une nouvelle fois, il ne s’agit pas d’une obscure boutique en ligne ayant laissé traîner quelques adresses e-mail, mais d’un service de l’État manipulant des données personnelles et immobilières particulièrement précises. Le tout intervient quelques semaines seulement après d’autres attaques ayant touché ou visé la DGFiP et l’Éducation nationale. À un moment, la succession commence à devenir difficile à considérer comme une simple série de malchances.

Ce que l’on sait au 30 août 2026

Dans la nuit du 28 au 29 août, ZeroBytes a publié sur un forum cybercriminel une revendication concernant Zéro Logement Vacant, accessible jusqu’alors sur le domaine officiel beta.gouv.fr. Le groupe affirme avoir extrait exactement 148 929 194 lignes de données brutes.

FrenchBreaches, qui a documenté la revendication et les échantillons publiés par les attaquants, insiste cependant sur un point essentiel : une ligne n’est pas une personne. Une même personne peut apparaître plusieurs fois parce qu’elle possède plusieurs logements, parce qu’elle figure dans plusieurs millésimes de données ou simplement parce que différentes tables reprennent les mêmes informations.

ZeroBytes avance lui-même différentes estimations après déduplication. L’une aboutirait à environ 47,9 millions de personnes uniques à partir d’un identifiant individuel, tandis qu’une autre méthode, basée sur le nom et la date de naissance, dépasserait 71 millions. L’écart entre ces deux résultats montre précisément pourquoi il serait absurde d’annoncer aujourd’hui « 48 millions de victimes » comme un chiffre établi.

Nous ne savons donc pas encore combien de personnes sont réellement concernées. En revanche, la nature des informations revendiquées mérite beaucoup plus d’attention que le compteur spectaculaire de lignes.

Ce que contient réellement Zéro Logement Vacant

Le nom du service pourrait laisser penser à une simple base répertoriant des maisons abandonnées, mais ce n’est pas du tout le cas. Zéro Logement Vacant est une plateforme de travail destinée notamment aux collectivités territoriales, aux services de l’État et à leurs partenaires autorisés. Elle s’appuie sur différentes sources de données, notamment LOVAC et les Fichiers Fonciers.

LOVAC lui-même est constitué à partir de données fiscales provenant notamment du fichier 1767Biscom de la DGFiP, croisées avec les Fichiers Fonciers, DV3F et différentes bases géographiques. L’objectif est parfaitement légitime : repérer les logements durablement vacants, identifier leurs propriétaires, comprendre leur situation et éventuellement les contacter afin de favoriser la remise du bien sur le marché.

Mais pour accomplir cette mission, la plateforme doit savoir beaucoup de choses. Sa propre politique de confidentialité indique qu’elle peut traiter, selon les usages :

  • nom et prénom des propriétaires ;
  • adresse postale ;
  • adresse e-mail ;
  • numéro de téléphone ;
  • nom et coordonnées des agents publics utilisant le service ;
  • informations contenues dans des champs libres ;
  • pièces jointes pouvant contenir notamment nom, prénom, fonction, e-mail, téléphone, date de naissance, adresse et données relatives au logement ;
  • journaux de connexion et adresses IP.

Les collectivités peuvent également enrichir les fiches avec des informations recueillies sur le terrain, ajouter ou corriger un propriétaire, renseigner une date de naissance, un téléphone, une adresse ou différentes informations permettant de suivre la situation d’un logement. Les données relatives aux propriétaires peuvent, selon la politique de confidentialité actuelle du service, être conservées jusqu’à dix ans après la dernière vacance constatée.

Autrement dit, ce n’est absolument pas une base anodine. Elle rassemble des informations permettant d’identifier des personnes, de les contacter, de les rattacher à un patrimoine immobilier et de suivre l’évolution de logements précis sur une longue période.

Illustration du piratage revendiqué de Zéro Logement Vacant par ZeroBytes avec données personnelles et immobilières sensibles

149 millions de lignes, mais environ 3 500 comptes ZLV revendiqués

Une autre distinction est essentielle. Selon ZeroBytes, environ 3 500 comptes utilisateurs de Zéro Logement Vacant figureraient directement parmi les données récupérées. Le groupe affirme également posséder environ 3 450 empreintes de mots de passe protégées par bcrypt.

bcrypt est justement conçu pour éviter de conserver les mots de passe en clair. Posséder l’empreinte ne signifie donc pas connaître immédiatement le mot de passe d’un utilisateur, ce qui est plutôt rassurant sur ce point précis.

En revanche, les attaquants revendiquent également la récupération d’informations concernant des sessions authentifiées, avec environ 1 636 jetons de session présentés comme actifs lors de l’extraction, ainsi que des données liées à OAuth. Là encore, la prudence s’impose : un jeton récupéré n’est pas nécessairement encore exploitable, puisqu’il peut avoir expiré ou avoir été révoqué depuis.

Mais cela montre que la compromission revendiquée ne se limiterait pas à une vieille archive posée sur un serveur. Les attaquants affirment avoir eu accès à des éléments liés au fonctionnement courant de la plateforme et à l’authentification de ses utilisateurs.

Le scénario technique raconté par ZeroBytes est particulièrement gênant

C’est probablement la partie qui m’agace le plus. Selon le récit des attaquants — qui devra impérativement être confirmé par une analyse technique officielle — l’entrée se serait faite par Metabase, un outil permettant d’interroger des bases de données et d’en produire des tableaux de bord.

ZeroBytes affirme avoir obtenu une session disposant de privilèges importants sur l’instance utilisée par ZLV, ce qui aurait permis d’examiner les différentes connexions configurées dans l’outil. Et c’est là que l’histoire devient franchement mauvaise : les pirates affirment avoir découvert les identifiants permettant d’accéder directement à la base PostgreSQL de production.

Plus précisément, selon eux, un mot de passe aurait été inscrit en clair dans un champ de description de la connexion. Ils auraient ensuite pu utiliser directement ces identifiants pour accéder en lecture à la base de production hébergée chez Clever Cloud et parcourir les tables sans avoir à passer par Metabase.

Je le répète : à ce stade, c’est la version de ZeroBytes, pas la conclusion d’un rapport de l’ANSSI. Mais si ce scénario est confirmé, il sera particulièrement difficile à entendre. On ne parlerait pas d’une vulnérabilité cryptographique inconnue découverte par une équipe disposant de capacités dignes d’un service de renseignement, mais d’une chaîne de compromission ayant finalement conduit à découvrir des identifiants de production accessibles depuis un outil d’administration.

Lorsqu’on manipule des données fiscales, des identités et des informations immobilières concernant potentiellement des millions de personnes, ce genre de détail n’en est plus un. La question ne serait alors pas seulement de savoir comment l’attaquant est entré, mais pourquoi un accès obtenu sur un outil intermédiaire pouvait conduire aussi facilement vers une base de production.

Des secrets techniques auraient également été récupérés

ZeroBytes affirme ne pas s’être arrêté aux données des propriétaires. Les éléments revendiqués comprennent également différentes informations liées à l’infrastructure, notamment des secrets utilisés pour la signature de JWT, des informations liées à certaines clés API, des chaînes de connexion et des configurations concernant les environnements de production, de staging et de review.

Impossible aujourd’hui de savoir lesquels étaient réellement valides ou encore utilisables au moment de la publication. Mais dans un incident sérieux, la compromission de ce type de secrets impose généralement leur révocation ou leur rotation, afin d’éviter qu’un accès obtenu pendant l’attaque puisse être réutilisé après la fermeture de la brèche initiale.

C’est d’ailleurs ce qui peut expliquer qu’un service soit coupé pendant l’analyse et la remise en sécurité de son infrastructure. Mettre une plateforme hors ligne ne règle pas tout, mais cela permet au moins de limiter les accès pendant que les équipes cherchent à comprendre ce qui s’est passé et à remplacer les éléments potentiellement compromis.

La plateforme est hors ligne

Dans la matinée du 30 août, Zéro Logement Vacant était inaccessible. Le domaine principal renvoyait une erreur et plusieurs médias ont constaté la mise hors ligne du service après la revendication.

Cela ne nous donne toujours pas un rapport technique complet, mais nous sommes désormais largement au-delà d’un simple message anonyme disant « j’ai piraté l’État ». Des échantillons ont été diffusés, des détails techniques précis ont été publiés et le service concerné a été retiré du réseau.

Ce qui manque maintenant, c’est surtout une communication officielle détaillée permettant de mesurer l’étendue réelle de l’incident. Il faudra notamment savoir si la mise hors ligne correspond à une mesure préventive, à la confirmation d’une intrusion ou à une opération de reconstruction plus large de l’environnement technique.

Le lien avec les données de la DGFiP

Parmi les énormes volumes revendiqués figure également un ensemble présenté comme provenant de DataFoncier et de données issues de la DGFiP. ZeroBytes évoque environ 66,9 millions de lignes pour cet ensemble.

Attention encore à une confusion facile : cela ne signifie pas nécessairement que les pirates sont retournés directement dans les serveurs de la DGFiP pour récupérer ces informations. Zéro Logement Vacant utilise légitimement des données provenant de différentes administrations dans le cadre de sa mission. Compromettre une plateforme qui possède une copie ou une déclinaison de ces données permet donc potentiellement de les récupérer sans compromettre à nouveau leur administration d’origine.

C’est justement l’un des problèmes de la circulation des données. Une base extrêmement protégée à son origine ne reste réellement protégée que si tous les systèmes autorisés à en recevoir une copie offrent un niveau de sécurité adapté. La sécurité d’une donnée ne dépend pas seulement du coffre-fort principal : elle dépend de tous les endroits où l’on décide d’en déposer une copie, des accès accordés à ces environnements et de la manière dont les échanges sont surveillés.

Ce qui me met en colère : ce n’est plus un incident isolé

Une entreprise peut se faire pirater. Une administration peut se faire pirater. Aucun responsable informatique sérieux ne prétendra qu’un système connecté à Internet puisse devenir absolument invulnérable. Ce n’est donc pas le simple fait qu’une attaque réussisse qui me fait réagir, mais la répétition et la nature des informations concernées.

Quelques semaines auparavant, la DGFiP confirmait plusieurs intrusions ayant permis l’accès aux données de centaines de milliers de particuliers et de professionnels. Le gouvernement reconnaissait alors que les attaquants avaient notamment exploité des identifiants usurpés, ceux d’un agent et d’un tiers habilité. Des informations fiscales particulièrement précises avaient été exposées : état civil, adresse, coordonnées, revenu fiscal de référence, composition du foyer ou encore taux de prélèvement à la source.

L’Éducation nationale a ensuite été visée par une autre attaque revendiquée par ZeroBytes, avec des investigations encore en cours sur l’étendue exacte des données volées. Et maintenant, c’est Zéro Logement Vacant.

À chaque fois, nous parlons de bases permettant de décrire très précisément une personne : ses revenus, ses coordonnées, ses enfants, son logement ou encore son patrimoine immobilier. À un moment, il faut arrêter de considérer la cybersécurité publique comme un problème purement technique destiné aux administrateurs système. Ces données décrivent nos vies, et leur compromission peut avoir des conséquences très concrètes pour les personnes concernées.

Le problème n’est pas seulement le vol initial

Une fuite de ce type ne disparaît pas lorsque le serveur est réparé. Une fois copiée, une base peut circuler pendant des années, être revendue, croisée avec d’autres fuites et utilisée pour construire des campagnes de phishing extrêmement crédibles.

Imaginez un appel provenant prétendument d’une collectivité, au cours duquel l’interlocuteur connaît votre nom, votre adresse et votre date de naissance. Il sait que vous possédez un logement à une autre adresse et peut même disposer d’éléments laissant entendre que celui-ci est ou a été vacant. Le niveau de crédibilité n’a plus rien à voir avec le traditionnel e-mail expliquant qu’un prince étranger souhaite vous transférer quelques millions d’euros.

La multiplication des fuites rend surtout possible le croisement des données. Un numéro de téléphone obtenu dans une fuite, une adresse dans une autre, des informations fiscales dans une troisième et une adresse e-mail accompagnée d’un historique immobilier dans une quatrième peuvent, une fois réunis, produire un profil extrêmement détaillé. Individuellement, chaque donnée peut sembler presque banale ; ensemble, elles permettent de reconstruire une identité numérique complète, exploitable pour l’usurpation d’identité, la fraude ou des campagnes de manipulation ciblées.

« Conforme au RGPD » ne signifie pas « impossible à pirater »

La plateforme Zéro Logement Vacant indique proposer un stockage sécurisé et conforme au RGPD. Il serait malhonnête d’en conclure qu’une cyberattaque prouve automatiquement une violation du RGPD, car le règlement n’impose pas une sécurité parfaite — elle n’existe pas. Il demande en revanche aux responsables de traitement et aux sous-traitants de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque, compte tenu notamment de la nature des données traitées.

C’est précisément pour cette raison que le rapport technique de cet incident sera important. Si le scénario décrit par ZeroBytes est exact, il faudra expliquer comment la session Metabase initiale a été obtenue, pourquoi elle disposait de tels privilèges, comment les secrets permettant d’atteindre la production étaient stockés, quelles limites réseau existaient entre l’outil analytique et la base, quelles alertes ont ou n’ont pas été déclenchées pendant l’extraction, combien de temps les attaquants ont réellement conservé leur accès et, surtout, quelles données ont effectivement quitté l’infrastructure.

Ce sont ces réponses qui permettront de juger le niveau réel de sécurité, et non une déclaration disant simplement que « des mesures ont été prises ». Il faudra comprendre la chaîne complète, depuis l’accès initial jusqu’à l’exfiltration, afin de déterminer si l’incident relève d’une faille ponctuelle, d’un défaut de configuration ou d’un problème plus profond dans la gestion des accès et des secrets.

Ce que j’attends maintenant de l’État

Je n’attends pas qu’on me promette que cela ne se reproduira jamais, car ce serait irréaliste. J’attends en revanche de la transparence : un périmètre précis, une chronologie, le scénario de compromission lorsque l’enquête permettra de le communiquer, les catégories exactes de données sorties, le nombre de personnes réellement concernées, les mesures prises pour empêcher qu’une architecture similaire reproduise le même problème ailleurs et l’information rapide des personnes lorsque leurs données ont effectivement été compromises.

Parce que nous n’avons pas le choix de donner ou non un certain nombre d’informations à l’administration, l’État connaît nécessairement une partie de notre situation fiscale, familiale, immobilière ou administrative pour accomplir ses missions. Cette obligation crée en retour une responsabilité particulière. Lorsque le citoyen n’a pas le choix de confier ses données, celui qui les collecte doit être exemplaire dans la manière de les protéger.

C’est probablement ce qui explique mon agacement face à cette nouvelle affaire. Je peux choisir de ne pas créer de compte chez un réseau social douteux et éviter une boutique en ligne qui ne m’inspire pas confiance. En revanche, je ne peux pas décider que l’administration fiscale ne connaîtra plus mes revenus, que les fichiers fonciers oublieront que je possède un logement ou que les services publics ne conserveront aucune information me concernant.

Ce n’est donc pas demander l’impossible que d’attendre que ces bases soient considérées pour ce qu’elles sont : des infrastructures critiques de notre vie numérique. Elles doivent être protégées avec le même sérieux que les autres infrastructures essentielles, car une fuite ne touche pas seulement un système informatique : elle touche directement les personnes dont les informations y sont stockées.

Pas 149 millions de victimes, mais suffisamment pour exiger des réponses

Il faut résister au titre facile. Non, nous ne savons pas aujourd’hui si 149 millions de personnes ont été piratées. C’est même impossible puisque ce chiffre correspond à des lignes brutes comportant de nombreux doublons. Nous ne savons pas encore non plus si toutes les données revendiquées ont réellement été exfiltrées dans les volumes annoncés.

Mais nous savons qu’un groupe ayant déjà revendiqué des attaques importantes contre des organismes français affirme désormais avoir compromis Zéro Logement Vacant. Nous savons que les informations publiées sont suffisamment détaillées pour être prises au sérieux, que le service manipule des données personnelles et immobilières particulièrement précises et que la plateforme a été mise hors ligne pendant que l’affaire éclatait publiquement.

Cela suffit largement pour que l’on exige autre chose qu’un haussement d’épaules. Parce que le pire scénario ne serait finalement pas que ZeroBytes réussisse encore une attaque. Le pire serait que nous finissions par trouver normal qu’un nouveau fichier de l’État se retrouve régulièrement dans la nature.

Mise à jour et prudence

Cet article a été rédigé le 30 août 2026 à partir des informations disponibles publiquement. Plusieurs éléments techniques et volumes cités proviennent directement de la revendication de ZeroBytes, documentée notamment par FrenchBreaches. Ils ne constituent pas encore un rapport forensique officiel.

L’article sera mis à jour lorsque Zéro Logement Vacant, la DGALN, l’ANSSI, la CNIL ou une autre autorité compétente publiera un bilan permettant de préciser l’étendue réelle de l’incident.

Sources

Vous pourriez aimer également

Laisser un commentaire

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur la façon dont les données de vos commentaires sont traitées.