Un hacker se nommant ZeroBytes a récemment revendiqué une nouvelle cyberattaque, ciblant cette fois-ci le service Zéro Logement Vacant. Selon des informations publiées par TopTribune, le groupe affirme avoir extrait des données brutes issues de la plateforme. Cette attaque survient après un précédent incident de piratage au cours duquel le même cybercriminel avait déjà ciblé le fisc français.
Une fuite massive : près de 48 millions de personnes exposées
Les cybercriminels affirment que la fuite pourrait affecter près de 48 millions de personnes. Leur intention semble être de revendre ces données, qui proviendraient de fichiers fonciers, notamment ceux de DataFoncier et de la DGFiP, stockés dans l’environnement de la plateforme.
Un premier ensemble de données concerne les propriétaires, incluant leurs identités, dates de naissance, adresses, informations sur les droits de propriété, ainsi que divers identifiants des fichiers fonciers. Un second extrait, également relatif aux propriétaires, comprend des adresses e-mail et des numéros de téléphone. Des données liées à des agents de collectivités et à des prestataires pourraient également avoir été compromises, incluant adresses professionnelles et identifiants de comptes.
Ce qui rend cette attaque particulièrement préoccupante, c’est que les victimes ne sont pas nécessairement des utilisateurs du service. De nombreux propriétaires fonciers, qui n’ont jamais ouvert de compte sur Zéro Logement Vacant et qui ignorent son existence, se retrouvent exposés sans possibilité d’en être informés.
À la date de cet article, ni le service concerné, ni ses responsables, ni l’administration fiscale, ni la CNIL n’ont fait de commentaires sur cette revendication.
Action collective contre l’État : un millier de victimes s’engagent
Cette cyberattaque s’inscrit dans le cadre d’une action déjà bien engagée. L’avocat Jérémy Roche, appartenant au barreau de Béziers et étant un expert en droit de la protection des données personnelles, a initié une action collective en justice contre l’État français au nom des victimes des fuites de données fiscales et cadastrales de la DGFiP.
Le 17 août 2026, Roche a déclaré sur X que l’action collective était ouverte pour les personnes touchées par les fuites et un formulaire a été mis en ligne. Le 26 août, il a indiqué à RMC qu’environ un millier de personnes avaient déjà rejoint ce recours collectif.
Ce formulaire est destiné à toutes les personnes ayant reçu une communication de la DGFiP concernant ces fuites et qui estiment avoir subi un préjudice. Celui-ci peut varier d’un simple sentiment d’insécurité à des cas d’usurpation d’identité ou des tentatives de phishing. Selon l’avocat, dans une entrevue accordée au Parisien, les victimes ont « le droit d’être indemnisées » en cas de préjudice signalé, y compris moral.
Trois incidents et des excuses gouvernementales
Cette situation fait suite à la reconnaissance, le 14 août 2026, par la DGFiP, de deux intrusions distinctes survenues à la fin juin et juillet, entraînant le vol de données concernant au moins 678 000 personnes, incluant noms, prénoms, revenu fiscal et taux de prélèvement. Un enquête judiciaire a été ouverte pour extraction frauduleuse de données et association de malfaiteurs.
Une conférence de presse a été organisée le 18 août 2026 à Bercy où le ministre des Comptes publics, David Amiel, a présenté des excuses au peuple français, qualifiant la situation d’insupportable. La directrice générale des finances publiques, Amélie Verdier, a expliqué que trois cyberattaques distinctes ont eu lieu. La première, la plus significative, exploitait les identifiants d’un employé pour accéder au système, tandis qu’une deuxième attaque a concerné le Serveur professionnel de données cadastrales avec une estimation révisée des victimes, se chiffrant à 433 485 particuliers et 1 082 professionnels.
Une troisième fuite, identifiée le 17 août, concernait le portail public des successions vacantes et était jugée de moindre ampleur. Verdier a précisé qu’aucune des intrusions n’a permis d’accéder à des comptes fiscaux ni de récupérer des codes de sécurité, rappelant qu’une telle atteinte aux données couvertes par le secret fiscal constitue un délit pénal.
