Jamais entendu parler de Zéro Logement Vacant ? Une nouvelle cyberattaque y a pourtant pris votre nom de propriétaire et l'adresse de votre logement

Aucun propriétaire n'a jamais ouvert de compte sur Zéro Logement Vacant, et le site est pourtant hors ligne depuis le dimanche 30 août à cause de ce qu'il détient sur eux. Il l'était encore le lendemain matin, selon une dépêche de l'AFP. Le message du groupe ZeroBytes, daté du 28 août par les sites spécialisés qui l'ont vu passer sur un forum, revendique 148 929 194 lignes extraites de l'environnement de la plateforme, proposées à la vente dans la foulée. Le ministère de la Ville et du Logement, dont dépend ce service, n'a ni confirmé ni démenti l'intrusion.
 

Ce service numérique de l'État, parrainé par l'Agence nationale de l'habitat, donne aux collectivités les moyens de repérer les logements vides de leur territoire et d'écrire à ceux qui les possèdent. Pour qu'une mairie envoie une lettre, il faut bien qu'un nom et une adresse dorment quelque part dans une base.

Or ce fichier-là n'a rien d'un annuaire d'inscrits. Les fichiers fonciers sont produits depuis 2009 par le Cerema à partir des données MAJIC, la mise à jour des informations cadastrales tenue par la Direction générale des finances publiques. Ils recensent les propriétés bâties et non bâties du pays, et avec elles les personnes qui les détiennent. Versés dans la plateforme pour permettre l'envoi des courriers, ils y ont apporté bien plus que les seuls logements vides.

C'est ce qui explique les deux ensembles décrits par le pirate : environ 82 millions de lignes de propriétaires d'un côté, 66,9 millions issues d'un fichier national foncier de 2024 de l'autre. La base ne contient donc pas les gens qui ont eu affaire au service, mais ceux dont il pouvait avoir besoin de l'adresse, un jour, pour une maison qu'ils ne louent pas.

Faut-il en conclure que le fisc a été percé une seconde fois ? Non : le site spécialisé Cyberattaque.org, qui a examiné les échantillons, rappelle que les données de la DGFiP étaient déjà importées dans la plateforme. La faiblesse n'était pas au centre, elle était là où le fichier avait été recopié.
 

Ce que ces lignes contiennent, Cyberattaque.org est allé le vérifier : le site s'est procuré les échantillons proposés par ZeroBytes. On y trouve des identités, des dates de naissance, des adresses postales et les informations liées aux droits de propriété. Un second extrait va plus loin : sur 500 lignes examinées, 453 comportent un numéro de téléphone, 274 une adresse e-mail et 423 une date de naissance. Neuf lignes sur dix portent un téléphone, plus d'une sur deux un courriel.

Je m'arrête un instant sur ce que cet assemblage produit. Un nom seul ne vaut rien. Accolé à une date de naissance, à une adresse, au bien que vous possédez et au numéro sur lequel on vous joint, il devient un dossier complet, vendu par lots. Après déduplication, l'attaquant annonce 47 948 974 personnes distinctes, soit un peu plus de trois lignes par personne.

La comparaison avec le mois d'août donne la mesure du saut. Le 12 août, le même groupe revendiquait 678 438 lignes prises au système d'information des impôts, un vol qui avait valu au sujet une enquête du parquet de Paris. Seize jours plus tard, il en annonce 219 fois plus : ce n'est plus un échantillon de contribuables, c'est le carnet d'adresses de la propriété française.
 
Et c'est bien nous qui sommes en première ligne. D'après l'enquête Patrimoine de l'Insee, début 2021, 70,2 % des ménages dont la personne de référence a 65 ans ou plus étaient propriétaires de leur résidence principale, contre 16,7 % chez les moins de 30 ans. Plus on avance en âge, plus la probabilité de figurer dans un fichier de propriétaires est forte.

Les agents de collectivités qui se connectaient à la plateforme y ont laissé, eux aussi, leurs adresses professionnelles, leurs empreintes de mots de passe et des sessions datées du 25 août, jour revendiqué de l'intrusion. Ces volumes restent ceux que l'attaquant annonce lui-même.
 

Sauf que rien n'est venu du côté de l'État. Quatre jours après la revendication, le ministère n'a pas confirmé l'intrusion et aucun message n'a été envoyé aux personnes présentes dans le fichier. La règle ne laisse pourtant guère de place à l'interprétation : quand une violation expose les personnes à un risque élevé, l'organisme responsable doit les informer dans les meilleurs délais.

Un réflexe est à écarter tout de suite. La CNIL rappelle qu'elle ne peut pas confirmer la présence de vos données dans un fichier volé, et elle déconseille les sites qui prétendent vous le dire moyennant une inscription. Ces pages récupèrent une adresse mail de plus.

D'ailleurs, aucun mot de passe de particulier n'est à changer ici, puisque vous n'avez jamais eu de compte. C'est ce qui rend l'affaire différente : vous ne pouvez rien fermer, rien réinitialiser, rien retirer. Les données qui circulent sont celles que l'administration détient sur votre bien, et elles ne changeront pas.
 

Le risque, lui, arrivera par la boîte aux lettres et par la messagerie. Un courrier ou un mail qui cite votre nom exact, votre adresse exacte et le bien que vous possédez passe tous les filtres de méfiance habituels, et c'est ce que cette fuite rend possible. La période s'y prête : les avis de taxe foncière 2026 sont consultables depuis le 27 août pour les propriétaires non mensualisés, et seulement à partir du 19 septembre pour les autres. De faux courriels imitant l'alerte de la DGFiP circulent depuis le 18 août.
 
Deux gestes tiennent en une minute. Ne cliquez jamais sur un lien de paiement reçu par mail ou par SMS, même quand le message affiche la Marianne et vos coordonnées : tapez vous-même impots.gouv.fr et ouvrez votre espace particulier, où figure le seul avis qui vaille. Méfiez-vous ensuite des appels qui commencent par une vérification d'identité, puisque celui qui appelle a désormais de quoi réciter votre date de naissance.

Nous saurons vite si le ministère confirme, et surtout si les 47,9 millions de personnes concernées reçoivent le message que le règlement leur doit. En attendant, le fichier est en vente, et votre adresse ne changera pas de propriétaire.