Le pirate qui se fait appeler ZeroBytes revendique une nouvelle attaque informatique, cette fois contre le service Zéro Logement Vacant. Selon les informations relayées par Cyberattaque.org et Fuites Infos samedi 29 août 2026, le groupe affirme avoir extrait des lignes brutes depuis l’environnement de la plateforme.
ZeroBytes se présente comme un binôme de nationalité française. C’est le même pirate qui avait déjà revendiqué par le passé le piratage ayant visé le fisc. Sa nouvelle cible, Zéro Logement Vacant, est un service numérique de l’État qui aide les collectivités à repérer les logements inoccupés et à écrire à leurs propriétaires.
Près de 48 millions de personnes concernées, selon les pirates
D’après les cybercriminels, la fuite toucherait près de 48 millions d’individus. L’objectif revendiqué est la revente de ces données. L’essentiel du volume proviendrait de fichiers fonciers issus notamment de DataFoncier et de la DGFiP, chargés dans l’environnement de la plateforme.
Un premier échantillon, consacré aux propriétaires, contient identités, dates de naissance, adresses postales, informations liées aux droits de propriété et identifiants issus des fichiers fonciers. Un second extrait, toujours sur les propriétaires, ajoute des adresses e-mail et des numéros de téléphone. Des données concernant des agents de collectivités, des services de l’État et des prestataires auraient également fuité : adresses professionnelles, identifiants de comptes, dates d’activation et de dernière authentification.
La différence avec les précédentes attaques tient à qui est touché. Ce ne sont pas les utilisateurs du service qui sont exposés, mais des propriétaires fonciers qui n’ont jamais ouvert de compte, ignorent l’existence de Zéro Logement Vacant et n’ont aucun moyen de savoir qu’ils y figurent.
Contrairement à un mot de passe, un nom, une date de naissance ou une adresse ne se changent pas. À la date de l’article, ni le service, ni sa tutelle, ni l’administration fiscale, ni la CNIL ne s’étaient exprimés sur cette revendication.
Un millier de victimes rejoignent une action collective contre l’État
Cette nouvelle revendication intervient dans le prolongement d’un dossier déjà bien engagé. L’avocat Jérémy Roche, du barreau de Béziers, spécialiste du droit de la protection des données personnelles, a lancé une action collective en justice contre l’État français pour le compte des victimes des fuites fiscales et cadastrales de la DGFiP.
Le 17 août 2026, il annonçait sur X que l’action collective était désormais ouverte pour les victimes des fuites DGFiP d’août 2026 et qu’un formulaire dédié était en ligne. Le 26 août, sur RMC, il revendiquait déjà un millier de personnes ayant rejoint cette démarche indemnitaire coordonnée contre l’État.
Le formulaire s’adresse à quiconque a reçu un message de la DGFiP concernant les deux fuites et estime avoir subi un préjudice après l’exposition de ses données. Les préjudices visés vont du simple sentiment d’insécurité jusqu’à l’usurpation d’identité ou des tentatives de phishing ciblées. Selon l’avocat, dans un entretien au Parisien, les victimes ont « le droit à être indemnisées » dès lors qu’elles subissent un préjudice, y compris moral.
Trois attaques et des excuses publiques à Bercy
Cette action fait suite à la confirmation, le 14 août 2026, par la DGFiP, de deux intrusions distinctes survenues fin juin et fin juillet, ayant entraîné le vol de données concernant au moins 678 000 particuliers et professionnels : noms, prénoms, revenu fiscal de référence, taux de prélèvement à la source. Le parquet de Paris a ouvert une enquête pour extraction frauduleuse de données et association de malfaiteurs.
Une conférence de presse s’est tenue le 18 août 2026 à Bercy. Le ministre de l’Action et des Comptes publics, David Amiel, y a présenté des excuses, expliquant qu’ils s’excusaient parce que ce qui était arrivé était insupportable pour les Français.
La directrice générale des finances publiques, Amélie Verdier, a détaillé trois cyberattaques distinctes. La première, fin juin, la plus importante, a exploité les identifiants d’un employé pour s’introduire dans le système. La deuxième, revendiquée le 13 août, portait sur le Serveur professionnel de données cadastrales : Verdier a contesté le chiffre de deux millions de personnes avancé par l’attaquant, avançant un maximum de 433 485 particuliers et 1 082 professionnels.
Une troisième fuite, identifiée le 17 août sur le portail public des successions vacantes, a été qualifiée de bien moindre ampleur.
La directrice a précisé qu’aucune des trois attaques n’a permis d’accéder à un compte fiscal ni de récupérer des codes de connexion sécurisés. Pour les données couvertes par le secret fiscal, elle a rappelé qu’il s’agit d’un délit pénal.
