Groupe KEL (Orisha) : un accès non autorisé potentiel reconnu sur le logiciel de syndic KELSyndic 360, 1,3 million de personnes revendiquées

Le 29 septembre 2026, un acteur se présentant sous le pseudonyme « ChimeraZ » a mis en vente sur un forum cybercriminel une base qu’il attribue à Groupe KEL, éditeur de logiciels de gestion de copropriété et de gérance locative rattaché à Orisha Real Estate, en revendiquant environ 1,3 million de personnes, plus de 4 millions de lignes dont 142 913 IBAN et près de 200 000 documents PDF (110 Go compressés). Cyberattaque.org, Fuites Infos et FrenchBreaches ont publié le jour même, et Orisha Real Estate a mis en ligne le lendemain un point d’information qui reconnaît, sur la solution KELSyndic 360, « un accès non autorisé potentiel à certaines données », en précisant avoir sécurisé l’environnement, effectué les notifications d’usage et engagé une plainte. La notice ne cite ni la revendication, ni son auteur, ni la CNIL, et ne reprend aucun chiffre.

Le statut « confirmée » repose sur cette seule notice : Orisha reconnaît un incident et un accès « potentiel », sans valider l’authenticité de la base ni aucun volume. Le 1,3 million de personnes, les lignes, les IBAN et les 110 Go sont donc des chiffres d’attaquant, non comparables entre eux puisqu’une ligne n’est pas une personne, ce qui explique qu’aucun nombre de personnes ne soit retenu. Cyberattaque.org a toutefois examiné des échantillons où figurent des coordonnées, des IBAN, des BIC et, dans certains enregistrements, des mots de passe lisibles, ce que Fuites Infos et FrenchBreaches décrivent de façon concordante, un recoupement sur les données bancaires qui justifie la sévérité retenue quel que soit le volume réel.

Il s’agit d’un incident d’éditeur : KELSyndic 360 est utilisé par des cabinets de syndic et d’administration de biens, de sorte que les personnes dont les données sont revendiquées (copropriétaires, locataires, bailleurs, fournisseurs et collaborateurs selon Fuites Infos) n’ont aucune relation directe avec KEL et ignorent souvent quel logiciel leur syndic emploie. Selon la CNIL, le syndic est considéré comme responsable de traitement lorsqu’un texte l’oblige à collecter ou à utiliser des données, les autres situations étant appréciées au cas par cas : l’éditeur agit alors en prestataire, et c’est en principe au syndic d’informer les copropriétaires et, le cas échéant, de notifier la CNIL. Orisha annonce un contact individuel des clients potentiellement touchés, vraisemblablement les cabinets, mais aucun syndic n’a été publiquement identifié à ce jour : un copropriétaire peut donc être concerné sans avoir reçu de message.

Cet incident se distingue des épisodes antérieurs du groupe. Le 29 mai 2026, Orisha avait communiqué sur des incidents détectés le 13 mai sur « certaines solutions logicielles de notre portefeuille », sans nommer de produit ; la base du logiciel Immofacile, revendiquée le 14 juin par le même pseudonyme, y a été rattachée par concordance de dates et non par une déclaration d’Orisha (la fiche Espaces Atypiques traite d’une agence liée à ce logiciel). En juillet, la filiale CIM, éditeur pour assureurs, a signalé un incident sans exfiltration constatée à cette date, et Cyberattaque.org ne relève aucun lien technique avec KEL. Seul l’attaquant relie son opération à ses revendications sur Jestimo et Immofacile, ce qu’aucune source n’établit. Le pseudonyme « ChimeraZ » est par ailleurs associé à d’autres revendications de la période, dont Plurélya, la CAPEB et la Région Hauts-de-France, sans lien public établi entre ces incidents.

Si les échantillons sont représentatifs, l’association d’une identité, d’un IBAN et du rattachement à un syndic nourrit des fraudes au contexte très crédibles en copropriété : faux appels de fonds ou de régularisation de charges, message annonçant un changement de RIB du syndic ou d’un fournisseur, prélèvements SEPA frauduleux. Un IBAN ne permet pas à lui seul de retirer de l’argent, mais il suffit à rendre convaincante une demande de virement vers un nouveau compte. Les pièces d’identité et bulletins de paie évoqués par l’attaquant, non vérifiés, ouvriraient en outre la voie à l’usurpation d’identité.

Orisha invite les utilisateurs à renouveler leurs accès et à se méfier des sollicitations inhabituelles par courriel, téléphone ou SMS. Les copropriétaires gagneront à demander à leur syndic s’il utilise KELSyndic 360 et s’il a été informé, à vérifier par un numéro connu toute demande de paiement ou de changement de RIB, et à contester sans attendre un prélèvement SEPA inconnu, ce qui reste possible pendant treize mois pour un prélèvement non autorisé. Les cabinets utilisateurs ont intérêt à renouveler leurs mots de passe, à demander par écrit à l’éditeur le périmètre de leurs données et à évaluer avec leur délégué à la protection des données leurs obligations d’information et de notification.