Zéro Logement Vacant : une fuite massive est revendiquée

Une revendication qui vise un service public consacré aux logements vacants

Zéro Logement Vacant, aussi appelé ZLV, est un service numérique destiné à aider les collectivités et les services de l'État à repérer des logements vacants, à identifier leurs propriétaires et à les accompagner vers une remise sur le marché ou une rénovation. Le 28 août, le groupe cybercriminel ZeroBytes a publié sur un forum une revendication visant l'infrastructure de cette plateforme.

Cette revendication n'est pas une confirmation officielle d'intrusion. Elle doit donc être lue comme telle. En revanche, plusieurs éléments externes permettent de distinguer ce qui est allégué de ce qui a été observé : FrenchBreaches rapporte les détails fournis par le groupe, Cyberattaque.org indique avoir analysé des échantillons, et MacGeneration rapporte que le service a été rendu indisponible après la découverte de l'affaire.

149 millions de lignes ne veulent pas dire 149 millions de personnes

ZeroBytes revendique exactement 148 929 194 lignes brutes, avant déduplication. D'après la publication rapportée par FrenchBreaches, ce volume réunirait notamment une table de plus de 82 millions d'enregistrements de propriétaires et un fichier DataFoncier présenté comme issu de données DGFiP, avec près de 66,9 millions de lignes. Une même personne peut apparaître plusieurs fois, par exemple lorsqu'elle possède plusieurs biens ou figure dans plusieurs jeux de données.

Le groupe avance aussi 47 948 974 personnes uniques avec une méthode de rapprochement par identifiant, et plus de 71 millions avec un rapprochement par nom et date de naissance. Ces deux estimations ne s'additionnent pas et ne constituent pas un bilan officiel. Cyberattaque.org confirme de son côté la présence, dans les échantillons qu'il a consultés, d'identités, de dates de naissance, d'adresses postales, d'informations liées aux droits de propriété et d'identifiants de fichiers fonciers.

Des données de propriétaires, mais aussi des comptes professionnels

Les données observées ne concernent pas seulement les biens immobiliers. Cyberattaque.org décrit aussi des adresses e-mail et des numéros de téléphone dans un extrait de propriétaires. Il mentionne en outre des comptes liés à des agents de collectivités, à des services de l'État ou à des prestataires : adresses professionnelles, rôles, collectivité de rattachement, dates de connexion, sessions, adresses IP et informations de navigateur.

FrenchBreaches rapporte que ZeroBytes revendique également des empreintes bcrypt de mots de passe, des enregistrements OAuth et des jetons de session. Une empreinte bcrypt n'est pas un mot de passe lisible : c'est une forme cryptographique conçue pour ne pas révéler directement le secret. Son exposition reste sensible, notamment si le mot de passe était faible ou réutilisé. La présence d'un jeton dans un échantillon ne prouve pas non plus qu'il est encore actif aujourd'hui.

Un scénario technique allégué, pas encore établi

Selon ZeroBytes, l'accès initial aurait impliqué une instance Metabase utilisée pour les statistiques. Le groupe affirme avoir disposé d'une session à privilèges élevés, puis avoir trouvé des informations de connexion à PostgreSQL dans la configuration d'une base liée à l'outil. Il dit avoir ensuite interrogé directement une base de production hébergée chez Clever Cloud. FrenchBreaches précise que ce scénario vient de la revendication et n'est confirmé ni par l'administration ni par un rapport technique indépendant.

Cyberattaque.org indique avoir trouvé des données d'activité très récentes dans les échantillons, avec des authentifications allant jusqu'au 25 août et une demande de création de compte datée du 26 août. Cela rend plausible une extraction contemporaine de l'incident, sans permettre d'établir avec certitude la date du premier accès, sa durée ou le chemin exact suivi par l'attaquant.

Le risque concret : des messages qui connaissent déjà votre situation

Le principal risque pour les propriétaires n'est pas un message vague. Si des noms, adresses, dates de naissance et informations liées à un bien sont réellement sortis, un escroc peut fabriquer un faux courrier, un faux appel ou un faux SMS qui paraît crédible parce qu'il cite une adresse ou une situation immobilière réelle. Les coordonnées de contact éventuellement présentes faciliteraient cette approche ciblée.

Ne répondez pas à un message qui vous demande de régulariser un dossier de logement, de confirmer vos coordonnées ou de payer des frais au motif de cette affaire. Retrouvez vous-même le site ou le numéro officiel de l'organisme cité, sans utiliser le lien ni le numéro transmis. Pour les agents et prestataires utilisant ZLV, un changement du mot de passe est pertinent s'il a été réutilisé ailleurs, car les sources évoquent des empreintes de mots de passe et non des mots de passe en clair.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment que ZeroBytes a obtenu la totalité des 148 929 194 lignes qu'il revendique, ni que 47,9 millions de personnes distinctes sont concernées. Les volumes, la méthode d'accès, la présence de données DGFiP dans l'environnement, le nombre de jetons encore valides et l'étendue exacte de l'exfiltration restent des affirmations du groupe tant qu'une autorité ou l'équipe du service ne les a pas confirmés.

L'analyse d'échantillons par Cyberattaque.org confirme l'existence de données sensibles dans les fichiers consultés, mais ne permet pas à elle seule de reconstituer le périmètre complet de l'incident. Nous n'avons pas trouvé de communication officielle détaillant les personnes concernées, l'origine de l'intrusion ou les mesures prises. Toute information ultérieure de l'administration pourra donc modifier ce bilan.

Sources : Cyberattaque.org ↗ · MacGeneration ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.