Century 21 France : une faille du formulaire d'estimation expose les coordonnées de clients, 130 995 personnes revendiquées

Entre le 23 et le 25 septembre 2026, selon la notice adressée par Century 21 France à ses clients, une personne malveillante a exploité une faille du formulaire de demande d’estimation du site century21.fr et en a extrait la civilité, le nom, le prénom, l’adresse électronique, le téléphone mobile (lorsqu’il était renseigné) et l’agence destinataire de la demande. Le réseau d’agences immobilières indique avoir interrompu l’accès frauduleux le 25 septembre en retirant le formulaire, en désactivant l’interface concernée et en bloquant des adresses IP, puis avoir notifié la CNIL et déposé une plainte pénale. La veille, le 24 septembre, un acteur que Cyberattaque.org et FrenchBreaches nomment « weykofa » avait mis en vente sur un forum cybercriminel un fichier JSON d’environ 88,6 Mo, sans prix fixe et contre un paiement en cryptomonnaie, ce que les trois médias spécialisés relaient le 25 septembre.

Le point délicat tient à l’écart entre ce que l’entreprise reconnaît et ce que l’acteur revendique. Century 21 France ne communique aucun volume, alors que l’annonce de vente avance 228 148 lignes, 130 995 personnes, 131 212 adresses électroniques et 87 159 numéros de téléphone, des chiffres non confirmés dont l’écart entre lignes et personnes s’explique, selon Cyberattaque.org, par des demandes multiples enregistrées avec la même adresse. Le statut « confirmée » repose sur la notice, que Fuites Infos décrit comme un courriel adressé aux clients et dont Bonjour la fuite a relevé une capture, tandis que Cyberattaque.org et FrenchBreaches ne rapportent aucune réaction du réseau. Cette capture ne porte ni en-tête ni date, la date d’envoi est inconnue et la page d’accueil de century21.fr n’affiche aucun avis d’incident : le lien entre le fichier mis en vente et le périmètre décrit par l’entreprise résulte donc de la concordance des dates et des champs, sans preuve directe. Il s’agit par ailleurs d’un incident distinct de la revendication du 23 juin 2026 sur environ 21 000 collaborateurs du réseau, attribuée à un autre acteur, et aucun lien n’est établi avec Orisha, Immofacile, Groupe KEL, CapiFrance ou Espaces Atypiques : aucune source ne cite l’un d’eux ni un prestataire commun, et le vecteur décrit est le site de l’entité elle-même.

Les données reconnues sont des coordonnées accompagnées de l’agence destinataire, sans donnée bancaire, mot de passe ni pièce d’identité d’après la notice, ce que corroborent les échantillons examinés par Cyberattaque.org. Le champ prévu pour désigner un bien immobilier y est vide et la seule adresse présente est celle de l’agence, de sorte que l’entrée « adresse postale » cochée par Bonjour la fuite n’est corroborée par aucune autre source. La sévérité est donc « modérée » au regard du type de données, mais le contexte appelle une vigilance particulière : remplir un formulaire d’estimation révèle qu’une personne envisage de vendre un bien, et le fichier l’associe à l’agence censée traiter sa demande. Cette combinaison se prête à des escroqueries crédibles, comme l’appel d’un faux conseiller qui prétend donner suite à la demande d’estimation, celui d’un faux acquéreur qui cherche à obtenir des documents ou des frais, ou celui d’un faux notaire qui réclame des pièces ou un versement pour une vente supposée, risque que la notice évoque elle-même à propos des faux agents et des faux acquéreurs se présentant comme le réseau.

Century 21 France ne communique ni le nombre de personnes touchées, ni la nature technique de la faille, ni l’ancienneté des demandes exposées, que l’échantillon revendiqué ne permet pas de dater selon Fuites Infos, et aucun prestataire n’est cité dans les sources consultées.

Les personnes ayant sollicité une estimation auprès d’une agence Century 21 ont intérêt à se méfier de tout appel, SMS ou courriel qui évoque leur demande, en rappelant l’agence par les coordonnées publiées sur le site officiel plutôt que par celles fournies dans le message. Il convient de ne verser aucun frais, de ne transmettre aucun document d’identité ni titre de propriété à un contact non vérifié et de ne pas cliquer sur les liens reçus. Aucune donnée bancaire ni aucun mot de passe n’étant concerné selon l’entreprise, changer ses identifiants n’est pas nécessaire, mais les messages suspects peuvent être signalés sur Signal Spam, au 33700 pour les SMS et appels, ou sur Cybermalveillance.gouv.fr.