Zéro Logement Vacant : 148 millions de lignes issues des fichiers fonciers revendiquées par ZeroBytes

Le 28 août 2026, l’acteur connu sous le pseudonyme « ZeroBytes », déjà à l’origine des revendications visant la DGFiP et l’Éducation nationale au cours du même mois, a annoncé sur un forum cybercriminel l’exfiltration des bases de Zéro Logement Vacant. Ce service public numérique, porté par la Fabrique numérique de l’Écologie avec l’ANAH, la DGALN et la DHUP pour sponsors, aide les collectivités à remobiliser les logements inoccupés en s’appuyant sur des fichiers fonciers d’origine DGFiP, notamment LOVAC et le fichier 1767Bis.

La plateforme est hors ligne depuis le 30 août. Le 8 septembre, franceinfo a établi via plusieurs sources concordantes que la cyberattaque était réelle, tout en indiquant que le ministère de la Ville et du Logement refusait de commenter. Cette combinaison, un service coupé et une confirmation journalistique sans reconnaissance publique, justifie de conserver le statut « alléguée » : ce qui est établi, c’est qu’un incident a eu lieu, pas son périmètre.

Les chiffres appellent une prudence particulière, et l’attaquant fournit lui-même de quoi la justifier. Il revendique 148 929 194 lignes brutes et propose trois méthodes de dédoublonnage dont les résultats sont incompatibles entre eux : 47,9 millions de personnes en comptant par identifiant fiscal, 71,1 millions en comptant par nom et date de naissance, 32,5 millions pour les seules personnes dépourvues d’identifiant fiscal. Le chiffre de « 48 millions » repris en titre par la presse spécialisée n’est donc que l’une de ces trois estimations, et deux d’entre elles avoisinent ou dépassent la population adulte française. Un fichier foncier recense des lots et des droits de propriété, pas des habitants, et une même personne y figure autant de fois qu’elle détient de biens ou qu’elle apparaît dans des millésimes successifs.

Les sous-ensembles étroits sont plus instructifs que le total. La presse spécialisée relève 10 729 adresses électroniques uniques et 6 847 numéros de téléphone uniques, ce qui situe la population réellement contactable très loin des dizaines de millions annoncées. À côté de cela, environ 3 500 comptes professionnels d’agents de collectivités, de services de l’État et de prestataires seraient concernés, avec des empreintes de mots de passe bcrypt, des jetons de session et des secrets techniques. C’est ce dernier volet, et non le décompte spectaculaire de propriétaires, qui porte le risque le plus immédiat, puisqu’il touche des accès à un outil interfacé avec des données d’origine fiscale.

La sévérité retenue tient à la nature des données plutôt qu’au volume revendiqué. Associer une identité, une date de naissance, une adresse et un droit de propriété produit un jeu directement exploitable pour de l’usurpation d’identité et pour du démarchage ciblé sur des propriétaires de logements vacants, population déjà visée par des fraudes à la rénovation. La fiche sera mise à jour si le ministère, l’ANAH ou la CNIL communiquent des éléments de périmètre.