Zerobytes revendique le piratage de « Zéro Logement Vacant », avec près de 149 millions d'enregistrements
Après la DGFiP, le même pirate s'attaque à un service numérique de l'État chargé de recenser les logements vides, avec un volume de données qui, s'il est confirmé, dépasserait largement la population française.
149 millions. C'est le nombre d'enregistrements que le groupe Zerobytes affirme avoir récupérés sur « Zéro Logement Vacant », un service numérique de l'État conçu pour recenser et réactiver les logements inoccupés sur le territoire.
Le chiffre, à lui seul, pose un problème de cohérence: la France compte environ 68 millions d'habitants, et le parc de logements vacants recensé par l'Insee se compte en millions, pas en dizaines de millions. Soit la base contient des doublons, des historiques de modification ou des journaux techniques comptés comme des enregistrements distincts, soit la revendication est gonflée, une pratique courante chez les groupes qui cherchent à maximiser leur visibilité médiatique avant d'avoir négocié l'accès aux données.
Ce piratage s'inscrit dans une séquence déjà longue pour Zerobytes. Le même pseudonyme a revendiqué, en l'espace de quelques semaines, des intrusions chez la DGFiP, chez SFR et chez le drive en ligne d'Intermarché. Un rythme de publication aussi soutenu interroge sur la méthode: campagne de phishing ciblée contre des agents publics, exploitation d'une faille commune à plusieurs prestataires de l'administration, ou simple recyclage de données déjà en circulation sur des forums, rebaptisées pour l'occasion.
Ni le ministère du Logement ni l'opérateur technique du service n'avaient, au moment de la publication, confirmé l'authenticité ou l'ampleur de la fuite. C'est la procédure normale: une vérification sérieuse par échantillonnage prend souvent plusieurs jours, le temps que les équipes techniques identifient la source exacte de l'exfiltration et referment l'accès s'il est toujours actif.
Le même pseudonyme a revendiqué, en l'espace de quelques semaines, des intrusions chez la DGFiP, chez SFR et chez le drive en ligne d'Intermarché.
Il faut noter un point rarement mentionné dans la couverture de ce type d'incident: une base de données publique liée au logement vacant contient, par construction, des informations utiles à des campagnes de démarchage frauduleux ou de fausses relances administratives. Si la fuite est confirmée, le risque immédiat pour les particuliers concernés n'est pas l'usurpation d'identité classique mais plutôt le phishing ciblé se faisant passer pour un organisme public, avec une légitimité apparente renforcée par la connaissance du dossier réel du logement.
La CNIL a été informée de plusieurs de ces incidents ces dernières semaines, selon des sources proches du dossier consultées par plusieurs médias spécialisés. Une notification à l'autorité de contrôle est une obligation légale dès lors qu'une fuite de données personnelles est confirmée, sous 72 heures, mais elle n'implique pas que l'ampleur communiquée par l'attaquant soit exacte.
Pour l'instant, la seule certitude est celle-ci: l'administration française reste une cible de choix pour les groupes d'extorsion de données, moins pour la valeur immédiate de revente que pour le rapport de force que crée la médiatisation d'une fuite touchant un service public.
Le service avait été présenté, lors de son lancement, comme un outil de lutte contre la crise du logement, permettant aux collectivités de recenser puis de réactiver des biens vacants. Ironie du calendrier, c'est justement ce succès d'adoption, avec des millions de fiches associées à des propriétaires identifiés nommément, qui en fait aujourd'hui une cible particulièrement rentable pour un groupe cherchant à monétiser une base de données à caractère personnel.
D’après CNEWS.
