Zéro Logement Vacant, service numérique de l’État destiné à accompagner les collectivités dans la remise sur le marché des logements vacants, fait l’objet d’une revendication massive. Le hacker ZeroBytes affirme avoir extrait 148 929 194 lignes brutes depuis l’environnement de la plateforme.
Il estime à 47 948 974 le nombre de personnes distinctes après déduplication par identifiant. L’essentiel du volume proviendrait de données foncières issues notamment de DataFoncier et de fichiers DGFiP chargés dans l’environnement de Zéro Logement Vacant.
Deux gigantesques fichiers de propriétaires
Selon ZeroBytes, deux ensembles représentent à eux seuls presque toute l’extraction : environ 82 millions de lignes de propriétaires dans une première table et 66,9 millions de lignes provenant d’un fichier national foncier de 2024.
Ces volumes ne correspondent pas à autant de personnes différentes. L’attaquant annonce 47,9 millions d’individus distincts par identifiant de personne, tandis qu’une autre méthode basée sur le nom et la date de naissance aboutit à plus de 71 millions. Ces estimations ne doivent donc pas être additionnées.
Noms, dates de naissance et adresses confirmés dans les fichiers
Cyberattaque.org s’est procuré les échantillons proposés par ZeroBytes. Nous avons pu confirmer la présence de données concernant directement des propriétaires : identités, dates de naissance, adresses postales, informations liées aux droits de propriété et identifiants issus des fichiers fonciers.
Un second extrait consacré aux propriétaires contient également des adresses e-mail et numéros de téléphone. Sur les 500 lignes de cet échantillon, 453 disposent d’un numéro de téléphone, 274 d’une adresse e-mail et 423 d’une date de naissance.
Les comptes des agents et collectivités sont également concernés
La fuite ne se limite pas aux propriétaires. Les fichiers obtenus contiennent également des données relatives aux utilisateurs de Zéro Logement Vacant, notamment des agents de collectivités, services de l’État et prestataires.
- adresses e-mail professionnelles et identifiants de comptes ;
- hachages de mots de passe, majoritairement au format bcrypt ;
- rôles et type d’utilisateur, comme gestionnaire ou prestataire ;
- collectivité ou établissement de rattachement et numéro SIREN ;
- dates d’activation et de dernière authentification ;
- sessions de connexion, adresses IP et informations sur les navigateurs ;
- liens d’inscription, prospects et coordonnées de certains expéditeurs ou signataires.
Les valeurs observées sont des hachages de mots de passe et non des mots de passe en clair. Leur exposition reste toutefois sensible, notamment en cas de mot de passe faible ou réutilisé sur plusieurs services.
Des sessions encore très récentes dans l’échantillon
L’analyse des fichiers montre surtout que certaines données sont très récentes. Des comptes présentent des authentifications allant jusqu’au 25 août 2026, date revendiquée pour l’intrusion.
L’échantillon de sessions contient lui aussi des connexions créées le 25 août, avec des jetons, adresses IP, navigateurs et établissements associés. Certains de ces jetons expiraient quelques heures plus tard. Leur présence ne signifie pas qu’ils sont encore utilisables aujourd’hui, mais confirme que l’extraction contient des informations d’activité contemporaines de l’incident.
Une donnée datée du 26 août interroge sur la chronologie
Un élément attire particulièrement l’attention : dans l’échantillon consacré aux prospects, une demande de création de compte est datée du 26 août 2026, soit le lendemain de la date d’intrusion annoncée par ZeroBytes.
Cela peut signifier que l’accès ou l’extraction s’est poursuivi après le 25 août, ou simplement que cette date correspond au début de la compromission. Les fichiers ne permettent pas à eux seuls d’établir précisément combien de temps l’attaquant est resté dans l’environnement.
Metabase aurait ouvert la voie vers la base de production
ZeroBytes affirme être initialement entré par l’instance Metabase utilisée pour les statistiques de Zéro Logement Vacant. Contrairement à plusieurs attaques récentes contre Metabase, il ne revendique pas ici l’exploitation d’une vulnérabilité précise : il affirme avoir disposé d’une session superutilisateur valide.
Depuis cette interface, l’attaquant dit avoir accédé à la configuration des bases connectées puis découvert des informations de connexion à PostgreSQL. Elles lui auraient ensuite permis d’interroger directement la base de production hébergée sur Clever Cloud, sans passer par Metabase.
Une fuite DGFiP, mais pas nécessairement une intrusion à la DGFiP
La présence de dizaines de millions de données provenant de fichiers DGFiP / DataFoncier est spectaculaire, mais elle ne démontre pas une nouvelle compromission directe des systèmes de la DGFiP. D’après les éléments disponibles, ces données étaient déjà importées dans l’environnement utilisé par Zéro Logement Vacant.
Le risque dépasse néanmoins largement la simple exposition d’un annuaire : le rapprochement entre identité, date de naissance, adresse, propriété immobilière, coordonnées de contact et données de comptes professionnels peut faciliter des campagnes de phishing, d’usurpation ou de fraude extrêmement ciblées.
ZeroBytes propose désormais l’ensemble à la vente. Si les 148,9 millions de lignes et les 47,9 millions de personnes dédupliquées restent des volumes revendiqués par l’attaquant, les échantillons examinés confirment déjà la présence de données foncières, personnelles et de comptes utilisateurs particulièrement sensibles.