Des propriétaires de logements recensés par Zéro Logement Vacant pourraient voir leur nom, leur date de naissance, leur adresse et leur identifiant fiscal exposés après un piratage présumé. Un pirate affirme détenir la base complète de ce service numérique de l'État, soit près de 149 millions de lignes, et l'a mise en vente au plus offrant le 28 août 2026 sur un forum cybercriminel du dark web. La plateforme aide les collectivités à repérer les logements vacants et à contacter leurs propriétaires pour les remettre sur le marché.
Qui figurerait dans la base de Zéro Logement Vacant
Le dépôt annoncé comprendrait un fichier national de propriétaires fonciers, produit à partir des données de l'administration fiscale. Les personnes concernées ne sont donc pas des utilisateurs inscrits sur le site : ce sont des particuliers dont le bien a été recensé. Selon la revendication, leur nombre se situerait entre 48 et 71 millions, selon la manière de retirer les doublons, un ordre de grandeur que rien ne permet de vérifier à ce stade.
Pour ces propriétaires, les données annoncées portent sur le nom, la date de naissance, l'adresse et l'identifiant fiscal, et pour une partie d'entre eux l'adresse de messagerie et le téléphone. Le lot viserait aussi les agents des collectivités qui utilisent le service (adresses professionnelles, empreintes de mots de passe, sessions de connexion) ainsi que les collectivités elles-mêmes.
Un accès décrit en deux temps
L'acteur dit avoir obtenu ces données le 25 août 2026, en passant d'abord par l'outil de pilotage statistique du service, puis par un accès direct à sa base de production. Un échantillon accompagne l'annonce. Ni le service, ni sa tutelle, ni la CNIL n'ont confirmé publiquement l'incident.
Un nom associé à une date de naissance, une adresse et un identifiant fiscal forme un ensemble exploitable pour se faire passer pour une administration ou tenter une usurpation d'identité. Le fait que ces personnes soient repérées comme propriétaires d'un logement vide ajoute un élément précis que des messages frauduleux pourraient reprendre, en évoquant par exemple une démarche liée à ce bien. Côté collectivités, des adresses professionnelles et des éléments de connexion d'agents pourraient servir à des tentatives d'hameçonnage visant les services municipaux.
Ce qu'ajoute le point de situation de l'ANSSI
Le 30 septembre 2026, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié un point de situation sur les violations de données touchant les services de l'État. Il fait état de cette revendication, portée à la connaissance de l'agence le 28 août 2026.
Selon l'ANSSI, le point d'entrée serait la compromission d'une instance Metabase, un outil de statistiques, et la violation concernerait 48 millions de propriétaires en France. À titre préventif, la base de données a été isolée et le service coupé le temps des investigations.
L'agence s'exprime au conditionnel et ne confirme pas à ce stade l'exfiltration des données.
Détails techniques :
- Environ 149 millions de lignes annoncées (148,9 millions)
- Fichier national de propriétaires fonciers produit à partir de données de l'administration fiscale
- Entre 48 et 71 millions de personnes selon la méthode de dédoublonnage, d'après l'acteur
- Accès annoncé le 25 août 2026 via l'outil de pilotage statistique, puis la base de production
- Échantillon publié avec l'annonce
- Selon l'ANSSI : entrée par une instance Metabase et 48 millions de propriétaires concernés, au conditionnel ; base isolée et service coupé à titre préventif
Données concernées :
- Nom complet, prénom, nom et civilité
- Date de naissance
- Adresse postale, ville et code postal
- Adresse email et numéro de téléphone (pour une partie des propriétaires)
- Identifiant fiscal
- SIREN
- Identifiant interne, identifiant utilisateur et identifiant de connexion
- Mot de passe (haché)
- Jeton d'authentification et cookie de session
- Adresse IP et données d'appareil
- Rôle ou droits d'accès
- Données professionnelles (agents des collectivités)
Mentions :
Statut Fuites Infos : Revendiquée