Une base présentée comme celle d'Oracio, l'application d'états des lieux et d'inventaires immobiliers de la société tourangelle Snexi, a été mise en vente le 27 septembre 2026 sur un forum cybercriminel. Le vendeur annonce 118 995 lignes et 96 274 personnes, et met en avant 1 856 digicodes d'immeubles, qu'il facture en supplément. C'est la deuxième base liée à Snexi proposée à la vente en un peu plus de deux semaines, après une cyberattaque que l'entreprise a elle-même signalée le 2 septembre.
Oracio, l'outil des états des lieux de Snexi
Snexi, raison sociale Société Nationale d'Expertise Immobilière, est une société par actions simplifiée immatriculée à Tours (SIREN 794 278 846). Elle réalise des états des lieux locatifs et des diagnostics immobiliers réglementaires dans toute la France, par l'intermédiaire d'un réseau d'opérateurs indépendants. Elle est présidée par la holding Arche, qui réunit aussi les réseaux Century 21, Laforêt, Guy Hoquet, Nestenn et Citya.
Oracio est l'application sur tablette qui porte ces états des lieux. Le site de Snexi y renvoie sous le nom « App Oracio », et le site oracio-edl.fr se présente comme une application professionnelle française conçue pour rendre les états des lieux et les inventaires plus faciles, plus rapides et plus fiables. L'annonce de vente reprend cette présentation presque mot pour mot.
Ce que le vendeur met en vente
L'annonce décrit une base au format JSON d'environ 76 Mo. Elle avance 118 995 lignes et 96 274 personnes, sans dire comment ce second chiffre est établi. Elle avance aussi 72 799 numéros de téléphone, 69 855 adresses électroniques et 45 199 propriétaires.
Chaque ligne décrirait un logement confié à une agence, à un administrateur de biens ou à un bailleur. On y trouverait le propriétaire, le locataire et le gestionnaire du bien, avec pour ces deux derniers leur nom, leur adresse électronique et leur téléphone. L'adresse du lot serait précise jusqu'à la résidence, au bâtiment, à l'escalier et à l'étage, avec les numéros de mandat, de lot, de cave, de parking, de garage ou de box. Des consignes libres accompagneraient certains lots.
Le prix affiché est de 100 dollars pour la base sans digicodes et de 350 dollars avec, payable en Monero. Le vendeur a publié un exemple d'enregistrement, un échantillon gratuit sur treize hébergeurs, et la liste des vingt propriétaires les plus représentés.
Le ministère des Armées en tête des propriétaires cités
Selon cette liste, le premier propriétaire de la base serait le ministère des Armées, avec 2 666 lignes, plus 139 sous une graphie accentuée. Le CHR d'Orléans apparaît sous cinq libellés différents, pour près de 1 700 lignes au total. Suivent la Foncière Massena (461 lignes), SEMCODA Carré Pro (340), RAZ Distribution (326), la MNH (245), ACM Vie (145), ARC Immo (126), le Groupe ESA (118), le Groupe François Premier (109), Promologis (107) et Kyaneos Pierre (103). Ces décomptes sont ceux du vendeur.
Si cette liste est exacte, la base ne concerne pas seulement des particuliers passés par une agence : elle recense aussi des logements appartenant à des bailleurs institutionnels, hospitaliers et publics. Les logements du ministère des Armées sont en général attribués à ses personnels, ce qui donnerait à cette partie de la base une sensibilité particulière.
Ce que montre l'échantillon publié
L'échantillon diffusé gratuitement compte 200 lignes, et non les mille annoncées. Sa structure est exactement celle de l'exemple publié, champ pour champ, et les gestionnaires qui y figurent sont des collaborateurs d'administrateurs de biens et de réseaux réels : Nexity en tête, puis Century 21, Laforêt, Crédit Agricole Immobilier, Stéphane Plaza Immobilier et RE/MAX, ainsi qu'un cabinet de diagnostics. Les logements se concentrent à Dijon, Strasbourg et Montpellier, sur 19 départements.
Ces 200 lignes ne sont pas un tirage réparti sur la base. Leurs identifiants vont de 36 à 247, alors que l'exemple publié porte l'identifiant 119 027 : ce sont les toutes premières lignes de la table. Elles en portent les marques habituelles, avec des saisies de test et des lignes recopiées à l'identique, et les rares dates qu'elles contiennent remontent à 2016 à 2018. Aucun des propriétaires institutionnels mis en avant par le vendeur n'y apparaît. L'échantillon confirme donc la nature de la base, mais ne permet de vérifier ni son volume, ni sa fraîcheur, ni la liste des propriétaires.
26 des 200 lignes portent un digicode, en valeurs variées et parfois composées d'un bâtiment et d'une entrée. Aucune donnée bancaire, aucun montant ni aucun mot de passe n'y figure.
Pas la même base que le 11 septembre
Le 11 septembre 2026, le même vendeur avait mis en vente une base présentée comme celle de Citya Immobilier, réseau du même groupe : environ 2,25 millions de dossiers et près de 50 000 digicodes. Son contenu correspondait en réalité à l'outil de gestion des missions de Snexi, commandées par des agences Citya et par d'autres réseaux.
La base d'Oracio en est distincte. Les deux partagent le vocabulaire de la gestion locative et les digicodes, mais pas le compteur d'identifiants : ceux de la vente du 11 septembre dépassaient le million, ceux-ci s'arrêtent vers 119 000. Leur unité diffère aussi, un dossier de mission avec opérateur et rendez-vous d'un côté, un logement avec son occupant et son gestionnaire de l'autre. Ce sont deux tables différentes, vraisemblablement celles de deux applications du même prestataire.
Snexi a signalé sur son site une cyberattaque survenue le 2 septembre 2026, portant selon les profils sur le nom, le prénom, l'adresse électronique, l'adresse postale et le téléphone, et indiqué avoir notifié la CNIL. L'entreprise n'a relié publiquement aucune des deux mises en vente à cet incident.
Pourquoi les digicodes changent la nature du risque
Une ligne de cette base réunit l'adresse exacte d'un logement, jusqu'à l'étage et aux numéros de cave ou de parking, le nom et le téléphone de son occupant et, pour une partie des lots, le code d'entrée de l'immeuble. Ce n'est plus seulement un fichier de contacts : c'est de quoi repérer un logement et y accéder. Le vendeur ne s'y trompe pas, puisqu'il fait des digicodes l'argument de son titre et de son prix.
Le second risque est la fraude au prétexte locatif. Un escroc connaissant la résidence, le numéro du lot et le nom du gestionnaire réel peut se faire passer pour l'agence et réclamer un loyer sur un nouveau compte, un dépôt de garantie ou la remise des clés. Les domaines de Snexi et d'Oracio publient une politique stricte contre l'usurpation de leurs adresses électroniques, ce qui déporte ce risque vers le téléphone et vers des adresses d'apparence proche. Les coordonnées des collaborateurs d'agence exposent enfin les professionnels eux-mêmes à des manœuvres entre pairs.
Ce qui n'est pas établi
- Le volume réel de la base : ni les 118 995 lignes ni les 96 274 personnes ne sont vérifiables sur l'échantillon.
- La liste des propriétaires : aucun des bailleurs institutionnels cités n'apparaît dans les lignes publiées.
- Le nombre de digicodes : 1 856 selon le vendeur, 26 dans l'échantillon.
- La fraîcheur des données : aucune date d'enregistrement n'est disponible.
- L'origine : rien ne relie publiquement cette base à la cyberattaque déclarée le 2 septembre.
Que faire
Les locataires dont le logement a fait l'objet d'un état des lieux par une agence ou un bailleur ont intérêt à se méfier de tout appel ou message d'un « gestionnaire » demandant un paiement sur un nouveau compte, un dépôt de garantie ou la remise des clés, et à vérifier toute demande auprès de leur agence par un numéro qu'ils connaissent déjà. Les gestionnaires et les syndics concernés peuvent envisager le changement des codes d'accès des immeubles cités.
Détails techniques :
- Mise en vente le 27 septembre 2026 sur un forum cybercriminel, base visant l'application Oracio de Snexi
- 118 995 lignes et 96 274 personnes annoncées, format JSON, environ 76 Mo
- 1 856 lignes avec digicode selon l'annonce, vendues 350 dollars contre 100 dollars sans digicodes
- Échantillon gratuit de 200 lignes, pris en tête de table, structure conforme à l'annonce
- Base distincte de celle mise en vente le 11 septembre 2026 sous le nom de Citya Immobilier
- Cyberattaque du 2 septembre 2026 signalée par Snexi, CNIL notifiée selon l'entreprise
Données concernées :
- Nom complet
- Adresse email
- Numéro de téléphone
- Adresse postale
- Code postal
- Ville
- Identifiant interne
- Données professionnelles
- Champs libres
Données annoncées non vérifiées :
- Codes d'accès d'immeuble (digicodes)
- Volume de 118 995 lignes et de 96 274 personnes
- Propriétaires institutionnels cités par le vendeur
Sources :
- Site de Snexi : https://www.snexi.fr/
- Site de l'application Oracio : https://www.oracio-edl.fr/
- Fuite du 11 septembre 2026 : https://fuitesinfos.fr/article/2026-09-07-snexi
Mentions :
Statut Fuites Infos : Revendiquée