Zéro Logement Vacant : ce que révèle la fuite de données revendiquée par ZeroBytes
Le groupe ZeroBytes, déjà à l’origine de la fuite de données fiscales confirmée par la DGFiP le 13 août 2026, affirme avoir extrait près de 149 millions de lignes du service public « Zéro Logement Vacant ». France 2 a consacré un sujet à cette revendication dans son journal de 20 heures du 29 août. À ce stade, aucune confirmation officielle n’a été publiée : voici ce que ces chiffres signifient réellement, et ce qu’ils ne prouvent pas encore.
Une revendication, pas encore une confirmation
La distinction est essentielle et elle structure toute lecture de cet épisode. Le 29 août 2026, le site spécialisé Cyberattaque.org publie une analyse d’un message posté sur un forum cybercriminel : un acteur se présentant sous le pseudonyme ZeroBytes y affirme avoir extrait 148 929 194 lignes brutes de l’environnement technique de Zéro Logement Vacant, correspondant après déduplication à environ 47 948 974 personnes distinctes. L’intrusion serait intervenue le 25 août 2026. Le soir même, France 2 reprend l’information dans son journal de 20 heures, en retenant une formulation prudente : des propriétaires « potentiellement touchés ».
Ce vocabulaire n’est pas de la timidité éditoriale. Dans un incident de sécurité, trois niveaux de certitude se confondent souvent dans le débat public. La revendication n’engage que l’attaquant. La vérification d’échantillon vient ensuite : des tiers examinent les extraits diffusés et constatent qu’ils ressemblent à des données authentiques — c’est le stade atteint ici, Cyberattaque.org indiquant avoir retrouvé dans les échantillons des données foncières, des identités, des adresses et des contacts professionnels. Seule la confirmation par l’organisme visé établit le périmètre exact, la porte d’entrée utilisée et le nombre de personnes concernées.
Le précédent immédiat éclaire cette gradation. Le même acteur avait revendiqué le 12 août une intrusion dans les systèmes de la Direction générale des finances publiques. Bercy a confirmé l’incident dès le 13 août : 678 438 lignes extraites, une intrusion remontant au 26 juin 2026, une méthode reposant sur l’usurpation d’identifiants légitimes, et des données comprenant état civil, adresse, revenu fiscal de référence, taux de prélèvement et identifiant fiscal. La confirmation avait alors précisé la revendication initiale, tout en la validant dans son principe.
Pourquoi un outil destiné aux communes détient des données sur des millions de propriétaires
Beaucoup s’étonnent qu’un service aussi discret puisse concentrer un tel volume. La réponse tient à sa raison d’être. Zéro Logement Vacant est une « startup d’État », c’est-à-dire une petite équipe produit hébergée par un ministère selon les méthodes de la communauté beta.gouv.fr. Portée par la Fabrique Numérique de l’Écologie et parrainée par l’Agence nationale de l’habitat et la Direction générale de l’aménagement, du logement et de la nature, elle est passée en phase d’accélération le 1er novembre 2022. Sa mission : aider gratuitement les collectivités à repérer les logements inoccupés de leur territoire et à écrire à leurs propriétaires pour les convaincre de remettre le bien sur le marché. Le service met en avant 1,35 million de logements vacants depuis au moins deux ans dans le parc privé français (source LOVAC 2025) et 1,6 million de passoires énergétiques locatives classées F ou G menacées de basculer dans la vacance.
Or, pour écrire à un propriétaire, il faut savoir qui il est. L’outil agrège donc des fichiers fonciers nationaux et des données issues de l’administration fiscale. C’est là que se joue l’effet de levier : selon l’analyse de Cyberattaque.org, l’essentiel du volume revendiqué provient d’une table d’environ 82 millions de lignes de propriétaires et d’un fichier national foncier 2024 de 66,9 millions de lignes. Un service utilisé par quelques centaines d’agents publics peut ainsi devenir, du point de vue de l’attaquant, un point d’accès à des référentiels couvrant une large part de la population propriétaire.
Il faut ici se garder d’une erreur de lecture fréquente : 149 millions de lignes ne signifient pas 149 millions de personnes. Un même propriétaire apparaît autant de fois qu’il détient de droits sur des parcelles ou des logements. La déduplication — le fait de regrouper les lignes se rapportant au même individu — fait tomber le chiffre à environ 48 millions selon l’attaquant lui-même, une estimation qui reste invérifiable en l’état.
Anatomie de l’intrusion décrite : Metabase, PostgreSQL, bcrypt
Le scénario technique rapporté mérite d’être décomposé, car il illustre une faiblesse récurrente des systèmes d’information modernes : la compromission ne vise pas la forteresse, mais la fenêtre latérale.
Selon la revendication, l’accès initial passe par une instance de Metabase, un outil libre de visualisation utilisé pour produire les statistiques du service. L’attaquant dit avoir disposé d’une session de superutilisateur valide sur cet outil. Metabase, par construction, doit connaître les identifiants de connexion aux bases qu’il interroge ; l’attaquant affirme les avoir lus, puis s’en être servi pour interroger directement la base de production PostgreSQL, hébergée chez l’infogéreur français Clever Cloud. Autrement dit, un outil de reporting périphérique aurait servi de pont vers le cœur des données.
Les fichiers revendiqués contiendraient aussi les comptes des utilisateurs du service — agents de collectivités, services de l’État, prestataires — avec courriels professionnels, identifiants, sessions de connexion, adresses IP, informations de navigateur et « hachages de mots de passe majoritairement au format bcrypt ». Ce dernier point appelle une nuance : un mot de passe haché n’est pas un mot de passe en clair. Le hachage est une transformation à sens unique, et bcrypt est réputé lent à dessein, ce qui rend les attaques par force brute coûteuses. Un mot de passe faible ou réutilisé reste toutefois cassable, ce qui justifie de renouveler les accès concernés.
Ce que le droit impose désormais
Le règlement général sur la protection des données fixe un cadre précis. Le responsable de traitement qui constate une violation de données à caractère personnel doit la notifier à la CNIL dans les 72 heures, sauf si elle est peu susceptible d’engendrer un risque pour les personnes. Lorsque le risque est élevé, il doit en outre informer directement les personnes concernées. Dans le dossier DGFiP, Bercy avait annoncé la notification à la CNIL au lendemain de la confirmation.
Pour les propriétaires éventuellement concernés, le risque immédiat n’est pas financier mais relationnel : des données exactes — nom, date de naissance, adresse, biens détenus — permettent de construire des courriels, SMS ou appels téléphoniques très crédibles, se faisant passer pour l’administration fiscale ou un service du logement. Aucun service public ne demande un mot de passe, un numéro de carte bancaire ou un virement immédiat par message. En cas de doute, la règle demeure de ne pas cliquer et de se rendre soi-même sur le site officiel.
Pour comprendre
Trois notions permettent de suivre ce dossier sans se perdre dans le vocabulaire technique. La première est celle de données, ces informations élémentaires dont l’agrégation transforme des lignes anodines en portrait précis d’une personne. La deuxième est l’adjectif cadastral, qui renvoie au registre public des propriétés foncières, socle des fichiers ici en cause. La troisième est celle de serveur informatique : comprendre la différence entre un serveur d’outillage statistique et une base de production éclaire, à elle seule, le mécanisme d’intrusion décrit.
Sources
- franceinfo / France 2, journal de 20 heures, « Le groupe de pirates ZeroBytes revendique une nouvelle cyberattaque, des propriétaires de logements vacants potentiellement touchés », 29 août 2026
- Cyberattaque.org, « Zéro Logement Vacant : 48 millions de personnes exposées dans une fuite massive », 29 août 2026
- beta.gouv.fr, fiche du service « Zéro logement vacant » (Fabrique Numérique de l’Écologie)
- Leto, « Piratage DGFiP : Bercy confirme la fuite de 678 000 données fiscales », 14 août 2026
Rédaction Savoir.fr
vous devez être connecter pour déposer un commentaire connecter