Géofoncier : un piratage revendiqué, des données foncières à préciser

Une revendication, pas une intrusion confirmée

Le 1er septembre 2026, un acteur se présentant sous le pseudonyme ZeroBytes a publié une revendication concernant Géofoncier.fr. Selon l’analyse publiée par FrenchBreaches, il affirme avoir trouvé un compte déjà authentifié, disposant d’un accès à l’API de la plateforme, puis avoir récupéré plusieurs ensembles de données. Une API est l’interface qui permet à un logiciel de demander automatiquement des informations à un service. Avec un compte suffisamment autorisé, elle peut donc accélérer fortement l’extraction de données.

Il faut garder la formulation exacte : il s’agit d’une revendication d’un cybercriminel relayée et analysée par un site spécialisé. Géofoncier n’a pas, à notre connaissance, confirmé publiquement une compromission, la nature de l’accès ni l’étendue d’éventuelles extractions. Le chiffre mis en avant, 4 226 008 lignes, vient de l’auteur de la revendication. Ce n’est ni un nombre de clients ni un nombre de personnes concernées.

La plateforme elle-même se présente comme un portail créé par l’Ordre des géomètres-experts. Son site indique centraliser plus de 200 couches de données institutionnelles et s’adresser notamment aux géomètres-experts, notaires, professionnels de l’immobilier, collectivités et particuliers. Cet usage explique pourquoi les données évoquées méritent d’être examinées avec prudence, sans transformer un volume de lignes en bilan humain.

Ce que l’échantillon ferait apparaître

FrenchBreaches décrit des échantillons qui contiendraient des informations sur des cabinets et des géomètres-experts : noms de structures, adresses, numéros de téléphone, adresses e-mail professionnelles, coordonnées géographiques et liens vers des fiches professionnelles. Ces éléments ne sont pas tous nécessairement confidentiels. La page publique de Géofoncier montre d’ailleurs que le portail met à disposition des données foncières, cadastrales, de zonage, de transactions et d’interventions de géomètres.

Les éléments plus sensibles évoqués dans l’analyse sont des identifiants internes, des références de dossiers, des dates, des références cadastrales, des géométries précises, des métadonnées de documents et le lien entre un dossier et le professionnel ou cabinet associé. La présence d’un champ indiquant qu’un document n’est pas visible publiquement ne prouve pas que le document lui-même a été extrait. Elle signale seulement, si l’échantillon est authentique, que des métadonnées pourraient porter sur des contenus non publics.

Ce mélange est central. Une archive peut réunir des données ouvertes, des informations professionnelles et des références internes. Le nombre brut de lignes ne permet pas à lui seul de déterminer la gravité de l’incident. Une même parcelle, opération ou structure peut générer plusieurs enregistrements dans des tables distinctes.

Un compte connecté aurait suffi

Dans sa version, ZeroBytes ne décrit pas une prise de contrôle complète de l’infrastructure. Il affirme avoir utilisé un compte authentifié pouvant appeler l’API. Nous ne savons pas comment ce compte aurait été obtenu, quels droits il possédait, s’il s’agissait d’un compte de personne, de service ou de test, ni si les accès ont été depuis désactivés.

C’est néanmoins un mécanisme important à comprendre. Un compte déjà connecté n’est pas une simple page web ouverte : il peut porter des droits d’accès. Si un compte légitime dispose de permissions larges, un pirate peut interroger les fonctions auxquelles il a normalement accès, et automatiser les demandes. Le risque réel dépend donc des autorisations attachées au compte, pas seulement de l’existence de l’API.

Le risque concret : l’usurpation de contacts professionnels

Aucun mot de passe, donnée bancaire ou pièce d’identité n’est mentionné dans les éléments publiés par FrenchBreaches. Il ne serait donc pas pertinent de conseiller à tout le monde de modifier ses mots de passe sur la seule base de cette revendication. En revanche, des coordonnées professionnelles, des noms de cabinets et des références de dossiers peuvent aider à rendre un faux courriel ou un faux appel plus crédible.

Un escroc pourrait par exemple se présenter comme un cabinet, un partenaire de projet ou un service lié à un dossier foncier, puis évoquer une commune, une référence ou un nom réellement associé à la personne contactée. Ces détails ne prouvent jamais l’identité de l’interlocuteur. Pour les professionnels concernés, le réflexe utile est de ne pas ouvrir une pièce jointe ou suivre un lien reçu dans un message inattendu. Il faut rappeler le contact via un numéro trouvé indépendamment, ou utiliser les coordonnées habituelles du dossier.

Ce que nous ne pouvons pas vérifier

Nous n’avons pas pu vérifier indépendamment l’accès revendiqué, le contenu complet de la base, le nombre exact de lignes, les droits du compte évoqué ni la méthode par laquelle il aurait été obtenu. La plateforme Géofoncier n’a pas publié de confirmation ou de démenti identifié lors de nos vérifications. Nous ne savons pas non plus si des documents non publics ont été extraits ou si l’échantillon ne contient que leurs métadonnées.

Une part des informations citées par la revendication semble pouvoir provenir de données déjà accessibles publiquement. La proportion de données internes ou confidentielles reste inconnue. Nous mettrons cette page à jour si Géofoncier, l’Ordre des géomètres-experts ou une autorité compétente publie des éléments vérifiables.

Sources : Géofoncier ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.