Zéro Logement Vacant piraté : encore un service de l'État visé

Encore un service public dans le viseur

C'est reparti. Un nouveau service numérique de l'État vient d'être piraté, et pas n'importe lequel : Zéro Logement Vacant, l'outil qui aide les collectivités à repérer les logements inoccupés et à contacter leurs propriétaires. Le service, édité par la Fabrique numérique de l'Écologie et l'Agence nationale de l'habitat, a été mis hors ligne dès la découverte de l'intrusion.

Derrière cette attaque revendiquée le 28 août sur un forum cybercriminel, on retrouve un nom déjà connu : ZeroBytes, un groupe qui se présente comme un binôme de nationalité française. C'est le même acteur qui avait déjà frappé la DGFiP sur les données fiscales, cadastrales et les successions, avant de s'attaquer à l'Éducation nationale il y a quelques semaines. Cette fois, c'est au tour des propriétaires français d'être exposés.

Comment l'intrusion s'est-elle déroulée ?

Selon les éléments examinés par plusieurs médias spécialisés, ZeroBytes serait entré par l'instance Metabase utilisée par la plateforme pour ses statistiques internes, un outil d'analyse de données assez répandu en entreprise. Contrairement à d'autres attaques récentes contre ce type d'outil, le groupe n'affirme pas avoir exploité une faille technique précise : il dit avoir simplement disposé d'une session superutilisateur déjà valide.

Depuis cet accès, l'attaquant explique avoir consulté la configuration des bases de données connectées, ce qui lui aurait permis de récupérer des identifiants de connexion à la base PostgreSQL utilisée en production. De là, il aurait pu interroger directement les tables réelles du service, hébergée chez Clever Cloud, sans même repasser par l'interface Metabase. Une chaîne de négligences plus qu'un exploit technique spectaculaire, si le récit du groupe est fiable.

Ce que contient la fuite

Le chiffre revendiqué donne le vertige : 148 929 194 lignes brutes de données, soit quelque 48 millions de personnes distinctes une fois les doublons retirés. Sur ce total, près de 82 millions de lignes concerneraient directement les propriétaires enregistrés dans la plateforme. Le solde proviendrait d'un fichier national foncier daté de 2024, croisant des informations DataFoncier et DGFiP déjà importées dans l'environnement du service.

La fuite ne se limite pas aux propriétaires. ZeroBytes revendique aussi environ 3 500 comptes d'agents de collectivités et de services de l'État compromis, avec leurs empreintes de mots de passe au format bcrypt. S'y ajoutent plus de 1 600 jetons de session qu'il affirme toujours actifs à l'heure de la publication. Plus de 10 700 adresses email et près de 6 850 numéros de téléphone uniques complètent le lot, directement exploitables pour du démarchage ou du phishing ciblé. Le groupe ne fixe aucun prix : il propose une vente sur offre, une pratique courante chez les revendeurs de données volées.

Pas une nouvelle attaque contre le fisc

Un point mérite d'être clarifié, car il prête facilement à confusion. La présence massive de données DGFiP et DataFoncier dans cette fuite ne signifie pas que ZeroBytes a de nouveau pénétré directement les serveurs des impôts. Ces informations étaient déjà utilisées légitimement par Zéro Logement Vacant dans le cadre de sa mission, en tant que fichiers importés depuis l'administration fiscale pour identifier les logements vacants et leurs propriétaires.

C'est justement ce qui rend l'affaire préoccupante d'une autre façon. Un outil public pensé pour un usage précis et limité finit par concentrer un volume d'informations sensibles bien supérieur à son objet initial. Et son niveau de protection n'a apparemment pas suivi.

Une accumulation qui interroge

Impôts, cadastre, successions, Éducation nationale, et maintenant Zéro Logement Vacant : le tableau de chasse de ZeroBytes sur les infrastructures publiques françaises s'allonge à un rythme soutenu depuis cet été. À chaque fois, le même scénario se répète. Un service est mis hors ligne dans l'urgence, une revendication détaillée apparaît sur un forum, et l'administration doit communiquer dans la précipitation sur l'ampleur réelle des dégâts.

Le mode opératoire décrit cette fois, une session superutilisateur déjà active sur un outil d'analyse interne, rappelle un problème récurrent. Ce ne sont pas toujours des failles sophistiquées qui ouvrent la porte, mais des accès mal maîtrisés : des identifiants qui traînent, des sessions qu'on oublie de fermer. Un problème d'hygiène numérique autant que de technologie, et donc potentiellement présent ailleurs dans le même écosystème de services publics.

Pour les propriétaires concernés, le risque immédiat se situe surtout du côté du démarchage frauduleux et du phishing ciblé. Avec un nom, une adresse postale, un numéro de téléphone et parfois une date de naissance, il devient facile de monter un message ou un appel crédible. L'escroc peut alors se faire passer pour une administration, une agence immobilière ou le fisc. Réflexe utile : ne jamais rappeler un numéro reçu par SMS, et passer par le site officiel des impôts ou par sa mairie pour vérifier une demande.

La cerise amère sur le gâteau

Ce qui rend le timing particulièrement mal choisi, c'est que cette fuite tombe à quelques jours du lancement de la facturation électronique obligatoire, le 1er septembre. Une réforme qui va justement demander aux entreprises françaises d'accorder leur confiance à de nouvelles plateformes centralisées pour faire transiter leurs données commerciales. Ce n'est pas le sujet principal de cette affaire, mais difficile de ne pas y penser alors que Bercy tente, au même moment, de rassurer sur la sécurité de son propre dispositif.