CapiFrance : près de 786 000 personnes revendiquées dans une fuite du CRM immobilier

Le 10 juin 2026, le cybercriminel opérant sous le pseudonyme « ChimeraZ » a revendiqué sur un forum spécialisé la diffusion d’une base de données attribuée à CapiFrance, réseau français de conseillers immobiliers indépendants appartenant au groupe Digit RE Group. La publication porte sur environ 3,6 millions d’enregistrements concernant, selon l’attaquant, 785 558 personnes distinctes, pour un volume d’environ 3 Go structuré comme un export de CRM : dossiers d’affaires (environ 1,6 million de lignes), contacts (environ 926 000), transactions (environ 554 000), signatures électroniques (environ 458 000) et interlocuteurs. Les données évoquées combinent identité, coordonnées et informations commerciales et immobilières (visites, transactions, mandats, signatures), une matière première crédible pour des fraudes ciblées de type faux appels de fonds. La revendication a été relayée dès les 10 et 11 juin par Cyberattaque.org et FrenchBreaches, puis par la presse généraliste (Clubic, Mediaterranee), sans déclaration de CapiFrance à cette date.

La suite de la chronologie appelle la prudence. Le 24 juin, le même acteur a revendiqué une fuite élargie à l’ensemble du groupe Digit RE Group, avec un chiffre différent pour la seule marque CapiFrance (1,95 million de contacts, contre 785 558 personnes dans l’annonce initiale), sans que l’articulation entre les deux annonces soit expliquée ; l’article source de cette seconde revendication rattache en outre au groupe des marques qui ne lui appartiennent pas (Meilleurtaux, MoneyVox, Empruntis, Hosman), ce qui affaiblit la fiabilité de ce chiffre alternatif. Le 29 juin, FrenchBreaches et Bonjour la fuite ont rapporté une reconnaissance par CapiFrance d’une fuite limitée à l’identité et aux coordonnées, excluant mots de passe et données bancaires ; cette confirmation n’a toutefois pas pu être retracée jusqu’à un communiqué officiel, à un article citant directement l’entreprise ou à une notification CNIL.

En l’absence de source primaire traçable pour cette reconnaissance, et conformément au traitement appliqué à la fiche IAD Group (même vague, même exigence), le statut retenu est « alléguée » : tous les chiffres émanent de l’attaquant, et le vecteur d’attaque reste inconnu. L’incident s’inscrit dans la campagne visant l’immobilier français menée en juin 2026 par « ChimeraZ » et son associé « misere », avec plus de 25 publications revendiquées entre le 8 et le 30 juin (SeLoger, Propriétés Privées, IAD Group, Espaces Atypiques via Immofacile, notamment). La fiche sera mise à jour si CapiFrance, le groupe Digit RE Group ou les autorités communiquent officiellement.