149 millions revendiqués, 148 929 194 lignes brutes, Zéro Logement Vacant piraté, ce que l’État doit affronter désormais

Une publication apparue le 28 août 2026 sur un forum cybercriminel attribue au groupe ZeroBytes le piratage de Zéro Logement Vacant, un service numérique de l’État accessible via zerologementvacant. beta. gouv. fr. D’après les éléments relayés par FrenchBreaches, les attaquants revendiquent l’extraction d’environ 148 929 194 lignes de données brutes, avant déduplication. L’ampleur annoncée interpelle, mais elle ne signifie pas mécaniquement qu’il existe 149 millions de comptes compromis. L’incident pose une question centrale, la nature exacte des tables concernées et le nombre réel de personnes touchées.

ZeroBytes revendique 148 929 194 lignes issues de Zéro Logement Vacant

Selon la revendication citée par FrenchBreaches, le groupe ZeroBytes dit avoir obtenu un accès à plusieurs bases de données liées à Zéro Logement Vacant. Le volume mis en avant, 148 929 194 lignes, est présenté comme un total avant nettoyage des doublons. Ce type de comptage peut gonfler très vite, car une même personne peut apparaître plusieurs fois, par exemple si des données sont stockées à la fois au niveau d’un bien, d’un propriétaire, d’un contact, d’un historique d’événements, ou d’échanges entre acteurs.

FrenchBreaches souligne que ces chiffres ne permettent pas, à eux seuls, d’établir le nombre de victimes réelles. Une ligne n’est pas un compte, et une base immobilière peut contenir des enregistrements répétés, des champs techniques, des événements, des états successifs d’un dossier. De ce fait, la prudence s’impose sur l’interprétation des 149 millions. Dans les fuites de données, les cybercriminels mettent souvent l’accent sur un volume maximal, plus vendeur sur des forums, mais ce volume ne traduit pas automatiquement l’exposition de 149 millions de personnes.

Un autre point central porte sur la finalité de la plateforme. Zéro Logement Vacant est décrite comme un outil public pour accompagner les collectivités dans la lutte contre la vacance des logements. Cette vocation implique potentiellement des échanges de données entre plusieurs entités, services, collectivités, prestataires, ou acteurs de terrain. La question opérationnelle est donc d’identifier les périmètres, quelles tables et quelles catégories de données ont été consultées, copiées ou exfiltrées, et sur quelle période.

À ce stade, l’information disponible provient d’une revendication publiée sur un forum cybercriminel, relayée et contextualisée par FrenchBreaches, qui classe l’incident comme revendiqué (crédible). Cela signifie que des indices sont jugés cohérents, mais qu’un travail de confirmation reste nécessaire, notamment par l’opérateur du service et les autorités compétentes. Les incidents récents dans le secteur public rappellent que la validation se joue sur des éléments techniques, journaux d’accès, artefacts d’exfiltration, empreintes de données, ou recoupements avec des échantillons diffusés.

Environ 3 500 comptes mentionnés, des empreintes bcrypt citées

Dans les détails cités par FrenchBreaches, les attaquants disent avoir récupéré des informations associées à environ 3 500 comptes utilisateurs de Zéro Logement Vacant. Ce point change l’échelle du débat, car il distingue les comptes disposant d’un accès direct à la plateforme d’un ensemble beaucoup plus large de données présentes dans des tables immobilières. La présence d’un nom ou d’une coordonnée dans un fichier lié au logement ne signifie pas automatiquement qu’un compte personnel a été compromis.

La revendication évoque la présence d’empreintes de mots de passe utilisant bcrypt. Une empreinte bcrypt n’est pas un mot de passe en clair, mais un condensat conçu pour résister aux attaques. Mais la sécurité dépend de plusieurs facteurs, la robustesse des mots de passe choisis, le coût paramétré dans bcrypt, l’absence de réutilisation de mots de passe sur d’autres services, et la capacité d’un attaquant à mener des attaques hors ligne sur le hash. En résultat, même si bcrypt est une mesure de protection, la fuite d’empreintes reste un risque concret pour les comptes concernés.

Les conséquences probables, en cas de données d’identité et de contact exposées, incluent du phishing ciblé, des tentatives d’usurpation, et des démarches frauduleuses exploitant la crédibilité d’un contexte administratif ou immobilier. Les attaques les plus efficaces s’appuient souvent sur des informations réelles, nom, date de naissance, adresse, références de dossier, ou échanges antérieurs. FrenchBreaches mentionne aussi des méthodes d’estimation très différentes, dont l’une par rapprochement nom complet et date de naissance donnant un résultat supérieur à 71 millions de personnes. Le site insiste sur le fait que ces chiffres ne sont pas comparables et ne suffisent pas à quantifier des victimes réelles.

Pour les utilisateurs potentiellement concernés, les mesures immédiates sont classiques, changement du mot de passe sur Zéro Logement Vacant si un compte existe, et surtout sur tout autre service où le mot de passe aurait été réutilisé, activation d’une double authentification si disponible, vigilance sur les messages évoquant des taxes, des dossiers logement, des régularisations, ou des demandes de documents. Du côté des organisations, l’enjeu est d’identifier rapidement si des jetons, clés d’API, comptes techniques ou droits excessifs ont été exposés, car ces éléments peuvent servir à rebondir vers d’autres systèmes.

Les tables propriétaires semblent majoritaires, le chiffre 149 millions questionné

FrenchBreaches indique que la majorité du volume revendiqué semble provenir de grandes tables contenant des informations sur des propriétaires. Cette observation est compatible avec l’écosystème immobilier, où un même propriétaire peut être lié à plusieurs biens, plusieurs adresses, plusieurs contacts, ou plusieurs événements administratifs. Dans une base relationnelle, un seul dossier peut générer de nombreuses lignes, ce qui amplifie rapidement un compteur brut.

La distinction entre enregistrements et personnes est un point souvent mal compris du public. Dans les fuites, on confond fréquemment un nombre de lignes avec un nombre de victimes. Or, une ligne peut représenter un lien entre tables, une adresse normalisée, un identifiant de parcelle, un champ de géolocalisation, ou un historique. De plus, un même individu peut apparaître sous des variantes orthographiques, ou avec plusieurs adresses, ce qui complique la déduplication. Par conséquent, l’évaluation sérieuse demande une analyse des schémas de données et des clés d’unicité, sans se limiter au volume global.

Ce flou statistique ne réduit pas l’importance d’un incident. Même un échantillon limité, s’il contient des coordonnées exactes et un contexte administratif, peut suffire à alimenter des campagnes d’escroquerie à grande échelle. Dans l’immobilier, les données sont sensibles par nature, identité, adresses, informations patrimoniales, contacts, parfois des pièces justificatives. Les cybercriminels ciblent ce secteur parce que ces informations sont monétisables, revendables, et exploitables pour des fraudes.

Les fuites recensées en 2026 dans l’écosystème français montrent une dynamique continue. Le HuffPost rapporte que French Breaches recense de nombreux incidents au quotidien, et qu’entre le 1er et le 19 août 2026, le site a comptabilisé plus de 80 piratages sur le territoire, touchant des structures très variées, de clubs sportifs à des administrations ou des services de vente en ligne. Dans ce paysage, l’affaire Zéro Logement Vacant est sensible parce qu’elle concerne un service public et des données liées au logement, sujet fortement exposé aux arnaques.

Les risques en 2026, phishing immobilier et réponse RGPD attendue

Dans les jours qui suivent une revendication crédible, le risque le plus immédiat est l’industrialisation de messages frauduleux. Des attaquants peuvent se faire passer pour un service de l’État, une collectivité, un opérateur mandaté, ou un interlocuteur lié à un bien. Les scénarios classiques reposent sur l’urgence, paiement à réaliser, document à transmettre, vérification d’identité, ou menace de pénalité. La présence de données exactes, adresse, nom, date de naissance, augmente le taux de réussite des campagnes, même quand l’attaque initiale ne vise qu’un sous-ensemble d’utilisateurs.

Pour les personnes, les réflexes de protection sont concrets. Ne jamais cliquer sur un lien reçu par message qui demande de s’identifier, privilégier l’accès direct au site via l’adresse connue, vérifier les domaines, surveiller les tentatives de connexion et les notifications de sécurité, signaler les messages suspects. Si des données d’état civil sont potentiellement impliquées, il faut aussi surveiller les démarches anormales, ouverture de compte, demandes de crédit, changements de coordonnées. Une surveillance des moyens de paiement peut être utile si des données financières étaient présentes, même si la revendication disponible se concentre surtout sur des données d’identification et de comptes.

Pour l’administration et l’opérateur, la réponse attendue inclut une qualification rapide, intrusion ou exfiltration, périmètre exact, chronologie, vecteur d’attaque, et mesures correctrices. Sur le plan réglementaire, un incident impliquant des données personnelles peut nécessiter une notification à la CNIL et, si le risque est élevé pour les personnes, une information directe des concernés, conformément au RGPD. La transparence est centrale, car elle permet aux personnes d’adapter leurs mesures de sécurité, et aux collectivités partenaires de vérifier leurs propres accès.

Cette affaire s’inscrit dans une séquence où les références de suivi des fuites, comme FrenchBreaches, jouent un rôle de vigie. En 2026, la multiplication des incidents impose aux organisations une hygiène numérique renforcée, segmentation des accès, moindre privilège, rotation des secrets, supervision, tests d’intrusion, et capacité de réponse. Pour le public, la réalité est plus simple, une fuite revendiquée déclenche presque toujours une vague d’arnaques, même quand le périmètre final est plus limité que le chiffre mis en avant sur les forums.