Le hacker ChimeraZ affirme détenir des données liées à La Boîte Immo, une société française spécialisée dans les logiciels et services numériques pour agences immobilières.
La publication, apparue le 12 mai 2026 sur un forum cybercriminel, évoque une fuite d’environ 28 000 profils accompagnée de plusieurs fichiers JSON totalisant près de 235 Mo de données.
Contactée, La Boîte Immo conteste toutefois l’existence d’une compromission globale de son infrastructure et affirme qu’aucune base de données centrale n’a été exfiltrée et conteste également le chiffre de 28 000 profils.
Selon l’entreprise, l’incident concerne principalement plusieurs comptes clients compromis via des identifiants valides, probablement réutilisés depuis des fuites tierces ou compromis directement sur les postes utilisateurs concernés.
La Boîte Immo fournit des outils CRM, gestion de mandats, agendas, signatures électroniques, sites web immobiliers et solutions de relation client à de nombreuses agences immobilières françaises.
Des données provenant de plusieurs espaces clients
Les fichiers diffusés publiquement semblent contenir des données issues de plusieurs modules utilisés par certaines agences immobilières clientes de la plateforme.
D’après La Boîte Immo, les fichiers publiés sous les noms utilisateurs.json, appointments.json et documents.json correspondraient uniquement aux données saisies par 3 à 6 agences clientes dans leur propre back-office, et non à une base centralisée regroupant l’ensemble des clients de la société.
L’entreprise précise que les agences concernées ont été informées individuellement.
1. Des données liées au suivi commercial et au support
Le fichier calls.json contient des historiques d’échanges associés au support client.
Les champs visibles incluent notamment :
- Nom des agences
- Emails professionnels utilisés par les collaborateurs
- Identité des employés
- Objets des demandes de support
- Dates des échanges
- Catégories et statuts des interactions
Selon La Boîte Immo, ces données proviennent d’un endpoint accessible uniquement après authentification et exposant des métadonnées liées aux échanges avec le support client.
L’entreprise indique que cette vulnérabilité a été corrigée dès le lundi suivant son signalement.
2. Des données personnelles issues de comptes clients compromis
Le fichier utilisateurs.json contient des informations personnelles relatives à des clients ou prospects immobiliers enregistrés par certaines agences.
Les données visibles incluent notamment :
- Nom et prénom
- Date et lieu de naissance
- Adresse postale complète
- Ville et code postal
- Numéro de téléphone
- Notes internes associées aux profils
Ces données seraient limitées aux espaces clients compromis et non à l’ensemble des utilisateurs de la plateforme.
3. Des rendez-vous et visites immobilières exposés
Le fichier appointments.json contient des données liées aux agendas et visites immobilières de certaines agences.
Les extraits affichent notamment :
- Dates et horaires de visites
- Adresses des biens
- Informations sur les prospects
- Numéros de téléphone des visiteurs
- Descriptions des biens immobiliers
- Identité des négociateurs immobiliers
Ces informations pourraient permettre de suivre certaines transactions ou visites immobilières en cours.
4. Des documents contractuels et signatures électroniques
Le fichier documents.json contient différents documents liés à des transactions immobilières.
Les extraits publiés affichent notamment :
- Mandats immobiliers
- Coordonnées d’agences et de clients
- Informations contractuelles
- Données liées aux signatures électroniques
- Emails et numéros utilisés pour l’authentification
- Clauses relatives aux transactions immobilières
Ce type de documents peut représenter une cible sensible dans des scénarios de fraude immobilière ou d’escroquerie ciblée.
La Boîte Immo annonce des mesures de sécurité supplémentaires
La Boîte Immo affirme prendre l’évènement « très au sérieux » et annonce accélérer le déploiement de l’authentification à double facteur, qui devrait devenir obligatoire pour l’ensemble de ses clients dans les prochains jours.
L’entreprise indique également avoir informé la CNIL et déposé plainte auprès des autorités compétentes.