Le duo de hackers français ZeroBytes revendique le piratage de la plateforme gouvernementale Zéro Logement Vacant, dans la nuit du vendredi 28 au samedi 29 août. Près de 149 millions d’enregistrements auraient été dérobés, dont un fichier national de la Direction générale des finances publiques. Deux semaines plus tôt, le même duo revendiquait le vol des données fiscales de plus de 670.000 contribuables.
La revendication a été repérée par FrenchBreaches, un site qui recense les attaques informatiques en France. Selon ce décompte, près de 149 millions d’enregistrements auraient été aspirés : 82 millions liés à des propriétaires et 67 millions provenant d’un fichier national de la Direction générale des finances publiques (DGFiP).
ZeroBytes affirme sur X que le fichier national des propriétaires immobiliers DataFoncier, millésime 2024, était stocké et exposé sur l’infrastructure de Zéro Logement Vacant. « Je l’ai donc téléchargé », écrit le duo à l’adresse de la DGFiP. Le service numérique, rattaché à l’exécutif, met en relation collectivités et propriétaires de logements vacants pour les remettre sur le marché. Il était hors ligne samedi 29 août.
Cent quarante-neuf millions de lignes, combien de personnes ?
Le chiffre impressionne mais demande d’être manié avec prudence. Les jeux de données comprendraient de nombreux doublons, ce qui explique une partie du volume. À ce stade, il n’est pas possible de chiffrer précisément le nombre de personnes concernées.
Toujours selon FrenchBreaches, les fichiers dérobés pourraient contenir des noms, des dates de naissance, des identifiants, des adresses postales, des numéros de téléphone et des adresses électroniques. Les informations seraient mises en vente sur des forums de cybercriminels, accompagnées d’échantillons gratuits destinés à attester l’authenticité du butin. Les autorités n’avaient pas communiqué officiellement au moment de la publication de l’article du Parisien.
Le troisième dossier du même duo en un mois
ZeroBytes s’était fait connaître mi-août avec le piratage du site des impôts. Les données fiscales de plus de 670.000 personnes avaient alors été dérobées aux serveurs de la DGFiP.
Quelques jours plus tard, le duo revendiquait une intrusion menée en juillet dans les serveurs du ministère de l’Éducation nationale, affirmant y avoir prélevé 346 millions de lignes brutes et être resté infiltré après avoir été détecté. L’affirmation vient des auteurs de l’attaque et n’a pas été confirmée publiquement par le ministère.
DataFoncier, un fichier qui n’était pas censé traîner
Le fichier national des propriétaires immobiliers DataFoncier recense les biens et leurs détenteurs à l’échelle du pays. C’est un outil de politique publique, utilisé notamment par les collectivités pour identifier le foncier disponible ou les logements inoccupés.
Selon la revendication relayée par FrenchBreaches, sa version 2024 se trouvait hébergée sur l’infrastructure de Zéro Logement Vacant. Le service numérique met en relation les communes et les propriétaires de logements vides pour les remettre sur le marché. Il n’a pas vocation à conserver un fichier fiscal national. C’est cette exposition, plus que la prouesse technique, que la revendication met en avant.
En cas de violation de données personnelles, le règlement européen impose au responsable de traitement de notifier la Commission nationale de l’informatique et des libertés sous 72 heures et, lorsque le risque est élevé, d’informer les personnes concernées. Aucune communication officielle n’avait été publiée à la parution de l’article du Parisien.
Pour les particuliers, les réflexes restent les mêmes que lors des précédentes fuites : se méfier de tout courriel ou appel évoquant un dossier fiscal ou immobilier avec des informations exactes, ne jamais transmettre de coordonnées bancaires sur sollicitation, et vérifier directement auprès de l’administration par ses canaux habituels.
Ce que la répétition raconte
Trois revendications en six semaines visant des administrations centrales, avec à chaque fois le même schéma : une base copiée, une annonce sur les réseaux sociaux, une mise en vente. Le point commun n’est pas la sophistication de l’attaque mais l’exposition de fichiers sensibles sur des infrastructures qui n’étaient pas prévues pour les héberger.
Pour les personnes concernées, le risque principal est en aval : hameçonnage ciblé, usurpation d’identité, démarchage frauduleux appuyé sur des données exactes. Une adresse et un nom de propriétaire valent bien plus, sur un forum, qu’un simple courriel.
La question n’est plus de savoir si les fichiers de l’État seront attaqués, mais combien de temps ils resteront copiables. Trois administrations en six semaines, cela ne s’appelle plus une série noire. Cela s’appelle une méthode.
Source : Le Parisien