Nouvelle fuite à l’État : les données de 48 millions de propriétaires compromises, le pirate des impôts encore frappé

🏛️ Qu’est-ce que Zéro Logement Vacant ?

Zéro Logement Vacant est un service numérique public lancé en 2020 par la Fabrique numérique du ministère de la Transition écologique, en lien avec l’ANAH (Agence nationale de l’habitat). Son objectif : aider les collectivités locales (mairies, intercommunalités) à identifier les propriétaires de logements vacants sur leur territoire, afin de les contacter et de faciliter la remise de ces biens sur le marché locatif ou de la vente. L’outil s’appuie notamment sur les fichiers fonciers de DataFoncier, un service du Cerema (Centre d’études et d’expertise sur les risques, l’environnement, la mobilité et l’aménagement) qui retraite des données issues de la DGFiP — la même administration déjà visée par ZeroBytes à deux reprises cet été. Concrètement, la plateforme donnait accès à environ 1,35 million de propriétaires de logements identifiés comme vacants, mais la base de données sous-jacente, utilisée à des fins statistiques, allait bien au-delà de ce périmètre.

📊 L’ampleur de la fuite revendiquée

Dans sa revendication publiée le 29 août 2026 à l’aube sur un forum cybercriminel, ZeroBytes affirme avoir extrait 148,9 millions de lignes de données brutes, réparties en deux fichiers principaux : environ 82 millions de lignes concernant des propriétaires et des biens immobiliers (identités, dates de naissance, adresses postales, droits de propriété, identifiants fonciers, et selon certaines sources adresses email et numéros de téléphone), et près de 67 millions de lignes issues d’autres tables de la base. Après déduplication, le pirate évalue le nombre de personnes physiques distinctes concernées à environ 47,9 millions — un chiffre qui, s’il était confirmé, se rapprocherait de la quasi-totalité des propriétaires immobiliers en France.

Le dépôt contiendrait également des données propres aux utilisateurs professionnels de la plateforme : environ 3 500 comptes d’agents de collectivités, de services de l’État et de prestataires, avec leurs empreintes de mots de passe chiffrées selon l’algorithme bcrypt, ainsi que plus de 1 600 jetons de session actifs et plusieurs milliers d’adresses email et numéros de téléphone associés à ces comptes professionnels.

🔓 Comment l’intrusion aurait eu lieu

Selon les explications données par ZeroBytes lui-même et recoupées par plusieurs médias spécialisés, l’intrusion ne reposerait pas sur l’exploitation d’une faille technique sophistiquée, mais sur la compromission d’une session administrateur valide sur Metabase, un logiciel d’analyse de données utilisé par la plateforme à des fins statistiques. Cet accès aurait permis au pirate de retrouver, en clair, les identifiants de connexion à la base de données PostgreSQL de production, hébergée chez Clever Cloud, un hébergeur cloud français. Une fois ces identifiants en main, l’attaquant aurait pu interroger directement la base de production et en extraire l’intégralité des tables auxquelles il avait accès.

Cette méthode illustre un problème récurrent relevé dans les incidents précédents attribués à ZeroBytes : ce ne sont pas toujours des vulnérabilités « zero-day » qui sont exploitées, mais des défauts de cloisonnement entre des outils secondaires (ici un outil de statistiques) et les bases de données sensibles qu’ils sont censés uniquement consulter en lecture partielle. Selon les éléments disponibles, l’intrusion aurait débuté aux alentours du 25 août 2026, et la plateforme aurait été mise hors ligne dès sa découverte — elle restait inaccessible au moment de la rédaction de cet article.

🕵️ Un nouvel épisode pour ZeroBytes

Cette fuite s’inscrit dans une série d’attaques que Liberta Press documente depuis la mi-août 2026. Le groupe ZeroBytes a en effet revendiqué, coup sur coup :

Ce nouvel épisode ne constitue donc pas un doublon de la fuite du cadastre du 14 août ni de celle sur les successions vacantes du 26 août : il s’agit d’une plateforme distincte, rattachée à un autre ministère (Transition écologique plutôt que directement Bercy), même si les données proviennent, in fine, largement des mêmes fichiers fonciers de la DGFiP, répliqués via DataFoncier. Ce point mérite d’être souligné : selon les recoupements disponibles, les données n’auraient pas été volées directement dans les systèmes internes de la DGFiP, mais dans une copie de ces données hébergée par une plateforme tierce à des fins statistiques — ce qui pose, une fois de plus, la question du nombre de systèmes annexes disposant de copies de données fiscales sensibles, et du niveau de sécurité qui leur est appliqué.

👥 Des victimes qui n’ont jamais rien demandé

Un élément distingue cette fuite des précédentes revendiquées par ZeroBytes : les personnes concernées ne sont pas des utilisateurs de la plateforme. Contrairement à une fuite touchant un service en ligne (où les victimes ont créé un compte, avec un mot de passe qu’elles peuvent changer), les propriétaires figurant dans cette base de données n’ont jamais ouvert de compte et n’avaient, pour la plupart, aucun moyen de savoir que leurs informations personnelles y figuraient. Leur présence dans le fichier découle simplement du fait qu’ils possèdent — ou possédaient — un bien immobilier recensé dans les données foncières nationales.

Cette situation illustre une difficulté propre aux données d’état civil et foncières : à la différence d’un mot de passe ou d’un numéro de carte bancaire, une date de naissance, un nom ou une adresse ne peuvent pas être « changés » pour se protéger après une fuite. Les personnes concernées n’ont, à ce stade, aucun levier direct pour limiter les conséquences d’une éventuelle exploitation de ces données.

⚠️ Les risques concrets pour les propriétaires

Plusieurs médias spécialisés en cybersécurité alertent sur les usages malveillants que pourrait permettre un tel volume de données croisant identité, adresse postale et statut de propriétaire immobilier :

• Faux avis d’imposition ou courriers frauduleux se faisant passer pour la DGFiP ou une collectivité locale, exploitant la connaissance précise de l’adresse et de l’identité du propriétaire pour paraître crédibles ;
• Faux appels de mairies ou d’intercommunalités évoquant le statut de « logement vacant » pour orienter la victime vers une arnaque (frais fictifs, demande de coordonnées bancaires) ;
• Escroqueries à la vente ou à la location immobilière, en usurpant l’identité d’un propriétaire réel dont les informations figurent dans la base ;
• Campagnes de hameçonnage (« phishing ») ciblées et personnalisées, grâce au recoupement entre identité, adresse et éventuellement email ou téléphone.

🔇 Le silence des autorités

À la date de publication de cet article, ni le ministère de la Transition écologique, ni la DGFiP, ni la CNIL (Commission nationale de l’informatique et des libertés) n’avaient publiquement communiqué sur cette revendication spécifique. Cette absence de réaction officielle s’inscrit dans un contexte plus large : selon nos recherches, plusieurs sites internet rattachés au ministère de la Transition écologique connaissaient des difficultés d’accès début septembre 2026, un incident sur lequel l’ANSSI (Agence nationale de la sécurité des systèmes d’information) menait des investigations — sans qu’un lien formel avec la fuite Zéro Logement Vacant ait été établi à ce stade. Nous mettrons cet article à jour dès qu’une communication officielle sera disponible.

🛡️ Que faire si vous êtes concerné

En l’absence de portail officiel de vérification pour cette fuite spécifique, quelques réflexes limitent les risques immédiats pour les propriétaires susceptibles d’être concernés :

• Rester méfiant face à tout courrier, SMS ou appel évoquant un logement vacant, un redressement fiscal ou une démarche administrative urgente, surtout s’il demande un paiement ou des données bancaires ;
• Vérifier systématiquement l’identité de l’interlocuteur en rappelant directement le numéro officiel de la mairie ou de la DGFiP, plutôt qu’en utilisant un numéro communiqué dans le message reçu ;
• Signaler tout message suspect sur la plateforme Signal Conso ou Pharos (plateforme de signalement des contenus illicites en ligne) ;
• Surveiller l’apparition éventuelle de démarches administratives (impôts, actes notariés) que vous n’auriez pas engagées vous-même.

❓ Questions fréquentes

Qu’est-ce que la plateforme Zéro Logement Vacant ?
C’est un service numérique public, lancé en 2020 par le ministère de la Transition écologique et l’ANAH, qui aide les collectivités locales à identifier et contacter les propriétaires de logements vacants sur leur territoire.

Combien de personnes sont concernées par cette fuite de données ?
Selon la revendication du groupe ZeroBytes, environ 48 millions de personnes distinctes seraient concernées, sur un total de 148,9 millions de lignes de données extraites. Ce chiffre n’est pas confirmé officiellement.

Est-ce la même fuite que celle du cadastre DGFiP annoncée le 14 août ?
Non. Il s’agit d’un épisode distinct, revendiqué le 29 août 2026 et visant une plateforme différente (Zéro Logement Vacant), même si les données concernées proviennent en partie des mêmes fichiers fonciers issus de la DGFiP.

Que faire si je pense être concerné par cette fuite ?
Restez vigilant face aux courriers, appels ou SMS non sollicités évoquant un logement vacant ou une démarche fiscale, vérifiez l’identité de tout interlocuteur avant de communiquer des informations, et signalez tout message suspect sur Pharos.

📚 Sources

1. 01net — Nouvelle fuite à l’État : les données de 48 millions de propriétaires compromises (31/08/2026)
2. Cyberattaque.org — Zéro Logement Vacant : 48 millions de personnes exposées dans une fuite massive
3. Clubic — Zéro Logement Vacant piraté : 148,9 millions de lignes de données revendiquées par ZeroBytes
4. Journal du Geek — 48 millions de victimes : le pirate des impôts frappe encore (01/09/2026)