Le groupe de hackers ZeroBytes a volé 148,9 millions de lignes de données sur la plateforme Zéro Logement Vacant, exposant 47,9 millions de propriétaires français. Noms, adresses, dates de naissance et identifiants fiscaux se retrouvent entre les mains de cybercriminels après une attaque exploitant des failles de sécurité élémentaires. Cette intrusion, révélée le 30 août 2026, constitue le troisième piratage majeur de l’administration française en trois mois.
Présentation de la plateforme Zéro Logement Vacant
Zéro Logement Vacant est un service numérique public lié au ministère de la Ville et du Logement. Comme l’explique CNews, cette plateforme permet aux collectivités et services de l’État d’identifier et de suivre les logements vacants pour faciliter leur remise sur le marché. Les communes utilisent cet outil pour localiser les biens inoccupés, contacter les propriétaires et proposer des solutions de rénovation ou de location. Elle centralise des informations issues de la Direction générale des finances publiques (DGFiP) et du fichier DataFoncier 2024, qui recense l’ensemble des biens immobiliers français.
Le déroulement de l’attaque
Les hackers ont accédé au système via Metabase, un logiciel d’analyse de données utilisé pour créer des tableaux de bord. L’accès initial a été obtenu grâce à une session administrateur Metabase valide, comme le revendique le pirate sur French Breaches. Une fois connectés, ils ont pu explorer les bases de données, consulter les utilisateurs et accéder à des informations sensibles. Treize tableaux de bord étaient accessibles sans authentification, exposant des adresses électroniques et des empreintes de mots de passe. La faille principale résidait dans le stockage en clair du mot de passe PostgreSQL de production dans une connexion Metabase, permettant aux pirates d’exécuter des requêtes SQL directement sur la base de données hébergée chez Clever Cloud.
Les victimes du piratage
Après déduplication par identifiant, 47,9 millions de propriétaires français sont concernés. Ce chiffre représente une part significative des propriétaires du pays, selon l’INSEE, qui indique que 58 % des ménages sont propriétaires de leur résidence principale. Les victimes incluent divers types de propriétaires, dont les informations personnelles, situation patrimoniale et références fiscales sont désormais entre les mains de cybercriminels. Les données compromises permettent l’usurpation d’identité, la fraude fiscale et des escroqueries immobilières sophistiquées. Les identifiants fiscaux, combinés aux adresses et dates de naissance, facilitent l’ouverture de comptes bancaires frauduleux et la souscription de crédits. Cette attaque s’ajoute à celle du fisc qui avait exposé 678 000 personnes entre juin et juillet 2026.
Les attaques répétées contre l’administration française
Depuis fin juin 2026, ZeroBytes cible régulièrement l’État français. Après avoir compromis le fisc et l’Éducation nationale, le groupe s’en est pris au ministère du Logement. Selon La Tribune, ces attaques révèlent des failles structurelles dans l’infrastructure numérique gouvernementale, notamment une mauvaise gestion des secrets techniques, des outils d’administration mal sécurisés et une absence de surveillance des accès privilégiés. Le piratage du fisc avait déjà soulevé des questions sur la sécurité des systèmes administratifs, particulièrement à l’approche de l’échéance de facturation électronique.
