Illustration : Zéro Logement Vacant : 148,9 millions de lignes revendiquées, dont un fichier national de propriétaires fonciers

Zéro Logement Vacant : 148,9 millions de lignes revendiquées, dont un fichier national de propriétaires fonciers

· maj

@fuitesinfos Nostr

Zéro Logement Vacant, service numérique de l'État qui aide les collectivités à repérer les logements vacants et à écrire à leurs propriétaires, fait l'objet d'une revendication publiée le 28 août 2026 sur un forum cybercriminel accessible via Tor. Un acteur y met en vente ce qu'il présente comme la base complète de la plateforme. À ce stade, ni le service, ni sa tutelle, ni l'administration fiscale, ni la CNIL ne se sont exprimés publiquement.

Ce qui distingue ce cas d'une fuite d'application ordinaire tient à la nature de la donnée annoncée. Le dépôt contiendrait, à côté des comptes de la plateforme, un fichier national de propriété foncière produit à partir des données cadastrales de l'administration fiscale. Les personnes qui y figurent ne sont ni clientes ni utilisatrices du service.

Le service visé

Zéro Logement Vacant n'est pas une société. C'est un service numérique de l'État, sans personnalité morale propre, incubé sur beta.gouv.fr au sein de la fabrique numérique du ministère de la Transition écologique et édité par la direction du numérique de ce ministère. Il est parrainé par l'Agence nationale de l'habitat (ANAH) et par la Direction générale de l'aménagement, du logement et de la nature (DGALN), sa tutelle métier. Le service est en phase d'accélération depuis novembre 2022.

Sa mission est de donner aux collectivités les moyens d'identifier les logements vacants de leur territoire et d'écrire à leurs propriétaires pour les inciter à les remettre sur le marché. C'est ce qui explique la nature des données qu'il manipule : pour écrire à un propriétaire, il faut son nom et son adresse.

La donnée en jeu

Les fichiers fonciers sont une base produite depuis 2009 par le Cerema à partir des données MAJIC (mise à jour des informations cadastrales) de la Direction générale des Finances publiques. Le Cerema restructure et enrichit ces données fiscales pour le compte du ministère chargé du logement.

Deux points comptent pour mesurer la portée de ce qui est revendiqué.

D'abord, l'accès à cette donnée est conditionné. Zéro Logement Vacant exige de ses utilisateurs qu'ils soient bénéficiaires des données LOVAC par la procédure du Cerema, lequel documente lui-même ce service comme destinataire de la donnée.

Ensuite, dans les versions courantes des fichiers fonciers, les données nominatives des propriétaires personnes physiques sont anonymisées. Une version non anonymisée existe et fait l'objet d'une demande spécifique. Un fichier de propriétaires portant des noms, des dates de naissance et des adresses suppose donc la détention d'une version nominative, ce que la mission du service implique.

Pour situer les ordres de grandeur : l'INSEE, qui publie depuis 2025 une base de la propriété foncière construite à partir des mêmes données MAJIC, indique que 9,7 millions de personnes possèdent au moins deux logements, et qu'au 1er janvier 2018, 58 % des ménages de métropole étaient propriétaires de leur résidence principale.

Ce que dit la revendication

Selon l'annonce, l'accès aurait été obtenu le 25 août 2026 par l'instance de pilotage statistique du service, hébergée chez Clever Cloud. L'auteur affirme avoir disposé d'une session superutilisateur sur cet outil décisionnel, puis avoir lu en clair, dans le champ description d'une connexion exposée par l'interface d'administration, le mot de passe de la base de production. Ce mot de passe lui aurait ouvert un accès direct en lecture à la base, en dehors de l'outil décisionnel.

L'annonce évoque également treize tableaux de bord publics accessibles sans authentification, qui auraient exposé des couples adresse de messagerie et empreinte de mot de passe, ainsi qu'une clé de signature de jetons lisible par l'interface de configuration. Elle précise que la suppression des comptes de l'outil décisionnel aurait fermé cette voie sans révoquer les identifiants de la base.

Aucun de ces éléments n'a été confirmé par le service. Aucune défaillance de l'hébergeur n'est alléguée par l'annonce.

Volumes annoncés, et ce qu'ils valent

L'annonce revendique environ 148,9 millions de lignes brutes, réparties en deux couches : environ 82 millions de lignes pour la table des propriétaires de l'application, et environ 67 millions de lignes pour le fichier national de propriété foncière millésime 2024.

Elle avance trois décomptes de personnes, selon la clé de dédoublonnage retenue : 47,9 millions par identifiant fiscal, 71,1 millions par nom complet et date de naissance, et 32,5 millions de personnes sans identifiant fiscal.

Ces chiffres sont ceux du vendeur. Aucun nombre de personnes concernées n'est retenu à ce stade : l'écart entre les deux méthodes de dédoublonnage atteint à lui seul vingt-trois millions de personnes, et rien de public ne permet de trancher. La fourchette de 47,9 à 71,1 millions borne ce que produiraient les décomptes annoncés, elle ne les valide pas.

L'annonce déclare par ailleurs environ 3 500 comptes d'agents de collectivités, 3 448 empreintes de mots de passe, 1 636 sessions, 3 204 enregistrements d'authentification externe, 587 couples adresse et empreinte qui auraient été exposés sans authentification, 10 729 adresses de messagerie uniques et 6 847 numéros de téléphone uniques.

Catégories de données annoncées

  • Propriétaires : civilité, nom, prénom, date de naissance, adresse postale, commune, code postal, identifiant fiscal, et numéro SIREN pour les propriétaires personnes morales. Pour une partie d'entre eux, adresse de messagerie et numéro de téléphone.
  • Agents des collectivités : adresse professionnelle, empreinte de mot de passe, rôle, poste et rattachement à leur collectivité.
  • Sessions et accès : jetons de session, adresse IP, agent utilisateur, jetons d'invitation.
  • Organisations : identifiants et numéros SIREN des collectivités utilisatrices.

Aucune donnée bancaire, aucune donnée de santé et aucune catégorie particulière au sens de l'article 9 du règlement général sur la protection des données ne figure dans ce qui est annoncé.

Ce qui n'est pas établi

  • Les volumes en dizaines de millions reposent sur la seule déclaration du vendeur.
  • Le décompte de 3 204 enregistrements d'authentification externe n'est corroboré par aucun élément public.
  • Le sous-décompte de 47,9 millions d'identifiants fiscaux que l'annonce rattache à la seule table applicative des propriétaires n'est corroboré par aucun élément public.
  • La chaîne d'accès décrite ne l'est par aucune source indépendante.
  • Aucune notification aux personnes concernées ni saisine d'autorité n'est documentée à ce jour.

Pourquoi ce cas se distingue

La première question est celle de la remédiation. Dans une fuite de plateforme, les personnes touchées sont des utilisateurs : on peut leur écrire, leur faire changer leur mot de passe, les alerter. Ici, la population principale annoncée est constituée de propriétaires fonciers qui n'ont jamais ouvert de compte, ne connaissent pas le service et n'ont aucun moyen de savoir qu'ils y figurent. Il n'existe pour eux ni réinitialisation, ni révocation, ni changement d'identifiant : un nom, une date de naissance, une adresse et un identifiant fiscal ne se changent pas.

La seconde est celle de la chaîne de responsabilité. La donnée annoncée est produite par l'administration fiscale, restructurée et diffusée sous condition par le Cerema, puis chargée dans la base d'un service numérique de l'État hébergé chez un prestataire commercial, où elle aurait été atteinte par un outil de pilotage statistique exposé. Chaque maillon est légitime pris isolément.

Le contexte

L'auteur de la revendication ouvre son message en rattachant sa cible à l'administration fiscale. Cette mention renvoie à deux accès illégitimes au système d'information de la Direction générale des Finances publiques, revendiqués les 12 et 13 août 2026 et confirmés par le ministère de l'Économie dans une communication du 14 août 2026.

Questions ouvertes

  • À la Direction générale de l'aménagement, du logement et de la nature et à la direction du numérique du ministère de la Transition écologique : l'intrusion revendiquée est-elle constatée, sur quelle période, et quelles données ont effectivement quitté la base ?
  • À la Direction générale des Finances publiques et au Cerema : quel millésime et quel périmètre du fichier foncier étaient chargés dans cette base, sous quelle convention, et la version nominative y figurait-elle ?
  • À la CNIL : une violation a-t-elle été notifiée au titre de l'article 33, et une information des personnes concernées est-elle praticable à cette échelle ?
  • Aux collectivités utilisatrices : les accès de leurs agents ont-ils été réinitialisés et les sessions révoquées ?

Sources publiques

Mentions :
Statut Fuites Infos : Revendiquée

Partager cet article

X LinkedIn WhatsApp Telegram Bluesky