Une fuite potentiellement massive touche le secteur immobilier belge. Le hacker ChimeraZ affirme avoir récupéré une partie de la base de Zabun, avec 1 571 596 lignes concernant 892 288 personnes.
La base, proposée à la vente le 17 octobre 2026, pèserait 3,8 Go. ChimeraZ revendique notamment 430 587 numéros de téléphone uniques et 177 023 adresses email différentes.
Zabun équipe des centaines d’agences immobilières belges
Zabun développe des logiciels CRM, sites web et outils destinés aux professionnels de l’immobilier. L’entreprise, filiale de Zimmo, se présente comme le plus important fournisseur de logiciels immobiliers en Belgique depuis l’acquisition de Skarabee en 2023.
Son logiciel centralise les biens, les contacts, les prospects, les rendez-vous, l’historique des communications et les documents liés aux dossiers immobiliers. Autrement dit, une compromission à ce niveau peut dépasser très largement les seules coordonnées d’utilisateurs de Zabun.
Téléphones, emails, adresses et historique des visites dans les documents
Cyberattaque.org s’est procuré un exemple des données diffusées par ChimeraZ. Celui-ci correspond à un document généré depuis l’environnement Zabun et consacré à un bien immobilier.
Le fichier contient les caractéristiques détaillées du logement, son prix, son adresse, des références cadastrales, mais également les noms de personnes intéressées, leurs numéros de téléphone, adresses email, adresses postales et l’historique des échanges avec l’agence.
Des commentaires internes indiquent par exemple qu’une personne a demandé davantage d’informations ou de photographies, qu’une autre a appelé pour connaître la localisation exacte du bien ou encore qu’un rendez-vous de visite a été envisagé.
Les données ne concernent pas uniquement les propriétaires
Le périmètre est important car un CRM immobilier ne contient pas seulement les propriétaires des logements. Il enregistre aussi des candidats acheteurs, locataires, prospects et personnes ayant simplement demandé des renseignements ou organisé une visite.
Cela explique également l’écart entre les 1,57 million de lignes et les 892 288 personnes revendiquées. Un même individu peut apparaître dans plusieurs documents, plusieurs biens ou plusieurs interactions.
Des dossiers vieux de près de vingt ans semblent toujours accessibles
L’exemple publié par ChimeraZ est particulièrement ancien : il contient des informations et des échanges datant de 2008 et 2009.
Cette ancienneté est cohérente avec l’histoire des logiciels aujourd’hui regroupés sous Zabun. Les premières solutions immobilières à l’origine du groupe ont commencé à être développées au début des années 2000.
Elle soulève néanmoins une question importante : pendant combien de temps les historiques de prospects et anciens dossiers immobiliers restent-ils conservés ? Certaines personnes présentes dans ces fichiers ont pu simplement demander des renseignements sur un logement il y a plus de quinze ans.
Un point d’accès public aux documents apparaît dans l’échantillon
La structure technique de l’exemple apporte également une piste sur la manière dont une telle quantité de données pourrait avoir été collectée. Chaque ligne contient un identifiant de document ainsi qu’une URL située sur le domaine 360.zabun.be et présentée comme un accès public à un document.
L’identifiant utilisé dans cette URL semble simplement encodé plutôt que protégé par un jeton long et aléatoire. Ce fonctionnement ne constitue pas à lui seul une vulnérabilité : tout dépend des contrôles effectués par le serveur avant de délivrer le document.
En revanche, si des documents sont accessibles uniquement à partir d’un identifiant prévisible sans contrôle d’autorisation suffisamment robuste, un scénario de type IDOR pourrait permettre une collecte automatisée à grande échelle. Une compromission d’un compte ou une extraction directe de la base restent également possibles. ChimeraZ ne donne aucun détail permettant de confirmer l’origine exacte.
Une fuite qui pourrait toucher les clients de nombreuses agences
C’est probablement le principal enjeu de cette affaire. Zabun indique que des centaines de professionnels belges de l’immobilier utilisent ses solutions. Plusieurs agences expliquent d’ailleurs dans leurs politiques de confidentialité que les demandes et coordonnées de leurs clients sont enregistrées dans le CRM Zabun.
Les 892 288 personnes revendiquées ne seraient donc pas nécessairement des clients directs de Zabun : il pourrait s’agir en grande partie de clients et prospects des agences immobilières utilisant son logiciel.
Une mine d’informations pour des arnaques immobilières ciblées
Le risque dépasse largement le spam classique. Connaître le bien auquel une personne s’est intéressée, son numéro de téléphone, son email et parfois le contenu de ses échanges avec une agence permet de fabriquer des scénarios de fraude extrêmement crédibles.
Un attaquant pourrait notamment usurper l’identité d’un agent immobilier pour réclamer un document, demander le paiement d’un acompte ou transmettre de fausses coordonnées bancaires en faisant référence à un véritable dossier.
À ce stade, Cyberattaque.org n’a identifié aucune communication publique de Zabun confirmant cette revendication. Le chiffre de 892 288 personnes et les volumes annoncés restent donc ceux avancés par ChimeraZ. Mais le contenu présenté montre surtout à quel point une base immobilière peut conserver, parfois pendant des années, une trace très détaillée de la vie et des démarches de ses prospects.