Des locataires et des propriétaires passés par un état des lieux ou un diagnostic immobilier réalisé par Snexi pourraient retrouver leurs coordonnées, l'adresse de leur logement et parfois le code d'accès de leur immeuble dans un fichier mis en vente. La société tourangelle avait déjà signalé sur son site une cyberattaque survenue le 2 septembre 2026.
Ce que Snexi a reconnu
Détenue par la holding Arche, Snexi réalise des états des lieux locatifs et des diagnostics immobiliers partout en France grâce à un réseau d'opérateurs indépendants. Elle a informé les visiteurs de son site d'une violation portant, selon les profils, sur le nom, le prénom, l'adresse électronique, l'adresse postale et le téléphone. Elle déclarait ne détenir aucune donnée financière ou bancaire, avoir notifié la CNIL, et ne communiquait aucun volume.
Une base mise en vente sous le nom de Citya Immobilier
Le 11 septembre 2026, une base présentée comme celle de Citya Immobilier, réseau d'administration de biens du même groupe, a été mise en vente sur un forum cybercriminel du dark web. L'annonce évoque environ 2,25 millions de dossiers, 1,14 million de personnes et près de 50 000 digicodes. Il s'agirait de missions d'états des lieux et de diagnostics : coordonnées des locataires et des propriétaires, adresse du logement avec numéros de lot et de porte, date du rendez-vous et opérateur missionné.
Ces missions seraient commandées surtout par des agences Citya, mais aussi par d'autres réseaux et bailleurs, dont Laforêt, Crédit Agricole Immobilier, Vilogia, Century 21 et Guy Hoquet. Le contenu correspondrait donc à l'activité de Snexi plutôt qu'à un système propre à Citya. Les digicodes et les dates de rendez-vous dépassent ce que l'entreprise avait décrit, et ni Snexi ni Citya Immobilier n'ont réagi publiquement à cette annonce.
La combinaison est concrète : un nom, l'adresse précise d'un logement, son numéro de porte, le code d'entrée de l'immeuble et la date d'un rendez-vous indiquent où vit une personne et comment accéder à son immeuble. Des messages frauduleux se réclamant d'une agence ou d'un diagnostiqueur pourraient aussi s'appuyer sur une mission bien réelle.
Détails techniques :
- Cyberattaque du 2 septembre 2026 signalée par Snexi sur son site, CNIL notifiée
- Base mise en vente le 11 septembre 2026 sous le nom de Citya Immobilier
- Environ 2,25 millions de dossiers et 1,14 million de personnes annoncés
- Volume annoncé : 1,92 Go au format JSON
- Près de 50 000 codes d'accès d'immeuble (digicodes) mis en avant
- Donneurs d'ordre les plus représentés après Citya : Laforêt, Crédit Agricole Immobilier, Vilogia, Century 21, Guy Hoquet
Données concernées :
- Nom et prénom
- Adresse email
- Numéro de téléphone
- Adresse postale
Données annoncées non vérifiées :
- Adresse du logement avec code postal, ville, numéros de lot et de porte
- Codes d'accès d'immeuble (digicodes)
- Date de rendez-vous et opérateur missionné
- Données professionnelles (donneurs d'ordre)
- Champs libres
- Identifiant interne
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise