Cyberattaque Zéro Logement Vacant : ce que ZeroBytes revendique, et ce qui est vérifié

Le groupe de pirates ZeroBytes — celui qui a revendiqué le vol de données des impôts cet été — affirme avoir siphonné les données de dizaines de millions de propriétaires français sur « Zéro Logement Vacant », un service numérique de l’État. Au 29 août 2026 au soir, cette cyberattaque n’est confirmée par aucune autorité, le site est hors ligne, et les trois chiffres qui circulent — 48, 71 et 149 millions — ne mesurent pas la même chose.

Les chiffres clés #

• 148 929 194 lignes brutes avant dédoublonnage (revendiqué).
• 47 948 974 personnes uniques, comptage le plus prudent du pirate (revendiqué).
• 3 538 comptes professionnels : agents, services de l’État, prestataires (revendiqué).
• 678 000 personnes touchées par le précédent piratage du fisc — confirmé par la DGFiP.

Ce qui s’est passé #

Le 28 août 2026, une publication signée ZeroBytes apparaît sur un forum cybercriminel et met les données en vente — la mention affichée est simplement « Price : Offer ». franceinfo décrit ZeroBytes comme un duo de hackers français, déjà à l’origine des vols revendiqués contre la DGFiP (l’administration fiscale) puis l’Éducation nationale. Il ne s’agit pas d’un rançongiciel (ce virus qui verrouille les fichiers contre rançon) mais d’une fuite de données.

À lire Comment faire une capture d’écran sur Windows, Mac, iPhone et Android ?

Le 29 août au soir, le Premier ministre Sébastien Lecornu réagit sur France 2 à la série d’attaques, sans confirmer celle-ci : « Globalement, on avait une maison qui était bien fermée avec une porte blindée (…). Malheureusement, la clé a été mise sous le paillasson. » L’épisode s’ajoute à une séquence chargée : le fisc, l’Éducation nationale, et le 29 au matin la fuite revendiquée chez la mutuelle Solimut, qui pourrait concerner plus d’un million d’assurés.

Zéro Logement Vacant, c’est quoi ? #

Peu de particuliers connaissent ce service, et pour cause : il ne s’adresse pas à eux. Zéro Logement Vacant (ZLV) est une « startup d’État » incubée par beta.gouv.fr et portée par l’Agence nationale de l’habitat, dont la mission officielle est de « permettre aux collectivités de mobiliser les propriétaires de logements vacants pour les remettre sur le marché ». Ce sont donc les communes et intercommunalités qui s’y connectent, en s’appuyant sur le fichier national des propriétaires. D’où la sensibilité de l’affaire : vous pouvez figurer dans cette base sans avoir jamais entendu parler du service.

48, 71 ou 149 millions ? Pourquoi les chiffres divergent #

Ces nombres circulent en parallèle depuis le 29 août. Ils ne se contredisent pas : ils ne comptent pas la même chose.

Chiffre	Ce qu’il mesure réellement	Où on le lit
148 929 194 (« 149 millions »)	Des lignes de base, avant dédoublonnage. Un propriétaire de trois biens occupe plusieurs lignes.	Europe Infos, French Breaches
47 948 974 et 71 065 268	Des personnes uniques — deux méthodes de dédoublonnage : par identifiant, ou par nom complet + date de naissance.	Cyberattaque.org
« Des milliers »	Les personnes dont les coordonnées seraient dans le lot.	French Breaches (titre)

Tous ces chiffres sont revendiqués par le pirate ; aucun n’est confirmé. L’écart s’explique : le total agrège 82 043 407 enregistrements issus de ZLV et 66 874 995 lignes d’un fichier national foncier de 2024, où un même propriétaire est compté deux fois. French Breaches le formule sans détour : « le chiffre « 149 millions » ne correspond pas à 149 millions de comptes ou de victimes ». Nous laissons donc l’écart en l’état.

À lire Décompresser RAR : 5 Méthodes Gratuites

Ce qui aurait fuité — et pourquoi ça change l’arnaque à craindre #

Le point le plus important, et le plus souvent survolé. Sur France 2, franceinfo décrit un extrait consulté par la rédaction contenant « les noms, adresses postales, mails, numéros de téléphone et dates de naissance de millions de propriétaires ». Mais le décompte technique publié par le pirate lui-même donne un tout autre ordre de grandeur sur les coordonnées : 10 729 adresses e-mail et 6 847 numéros de téléphone uniques. Des milliers, pas des millions. Nous écrivons cette divergence telle quelle — elle a une conséquence pratique immédiate.

Donnée revendiquée	Volume	Ce que ça permet à un escroc
Nom, date de naissance, adresse postale, références du bien, identifiants fiscaux	Des dizaines de millions de lignes	Un courrier ou un appel très crédible : faux avis de taxe foncière, fausse mise en demeure, fausse offre de rachat. Et de l’usurpation d’identité.
E-mails et téléphones	10 729 et 6 847	Hameçonnage (« phishing »), SMS frauduleux, appels au faux conseiller.
Comptes ZLV : empreintes bcrypt, sessions OAuth, jetons	3 538 comptes, 1 636 jetons	Reprise de compte côté collectivité : un jeton encore valide permet d’entrer sans mot de passe.

Autrement dit : si vous possédez un logement vacant, le risque le plus probable n’est pas un mail douteux, mais un courrier ou un appel connaissant votre nom, votre adresse et votre bien — donc terriblement convaincant.

Et moi concrètement, je fais quoi ? #

Si vous possédez un logement vacant

Vous ne pouvez pas savoir aujourd’hui si vous êtes dans le fichier : aucune notification n’a été envoyée, aucun outil officiel de vérification n’existe. Méfiez-vous des sites qui proposeraient de « vérifier » contre vos données.

• Ne réglez jamais rien depuis un lien reçu : pour toute somme réclamée au titre de la taxe foncière, tapez vous-même impots.gouv.fr.
• Rappelez par le numéro officiel de votre mairie ou de votre centre des finances publiques, jamais celui indiqué dans le courrier reçu.
• Un courrier n’est pas une preuve d’authenticité : une lettre à en-tête est triviale à imiter, surtout avec vos références cadastrales exactes.
• Surveillez vos relevés bancaires. C’est aussi le moment de verrouiller votre application bancaire (code, biométrie, plafonds).

Si vous aviez un compte ZLV (agent, élu, prestataire)

Changez votre mot de passe, et partout où vous l’aviez réutilisé. Les empreintes revendiquées sont au format bcrypt : la récupération est difficile, mais pas impossible sur un mot de passe faible. Demandez aussi la révocation de vos sessions actives : ce sont elles, et non le mot de passe, qui permettraient une entrée directe.

À lire Compresser PowerPoint : Guide Facile 2026

Où signaler

Trois portes officielles et gratuites : le diagnostic de cybermalveillance.gouv.fr et sa fiche « hameçonnage », la plainte auprès de la CNIL (l’autorité française de protection des données), et le dépôt de plainte en commissariat en cas d’escroquerie.

Ce que vaut la revendication, et ce que la loi impose #

La nuance que les reprises rapides écrasent : un volume annoncé sur un forum est un argument commercial, et le scénario technique est celui du pirate, pas celui d’une expertise. Selon sa publication, l’entrée se serait faite par une instance Metabase (un outil de tableaux de bord branché sur les bases de données) hébergée sur stats.zlv.beta.gouv.fr ; il y aurait trouvé un mot de passe PostgreSQL de production « stocké en clair dans la description d’une connexion ». Aucun rapport indépendant n’a validé ce récit : nous le rapportons comme une allégation. Nous avons en revanche constaté que cette adresse ne répond plus, comme le reste du service.

Si la fuite est avérée, le RGPD (règlement européen sur la protection des données) impose deux choses. L’article 33 exige une notification à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». L’article 34 impose d’informer les personnes quand la violation « est susceptible d’engendrer un risque élevé » — mais son paragraphe 3 prévoit une porte de sortie peu connue : cette information individuelle n’est pas nécessaire si « elle exigerait des efforts disproportionnés », auquel cas « il est plutôt procédé à une communication publique ». Avec des dizaines de millions de personnes et à peine 10 729 e-mails dans la base, c’est très probablement cette voie qui sera suivie : un communiqué, plutôt qu’un courrier à chacun (texte sur le site de la CNIL).

Aucune communication officielle à cette heure #

Au 29 août 2026 à 22 heures, nous avons vérifié : aucune communication officielle n’a été publiée. Rien du côté du service, dont le site entier est inaccessible ; rien sur le site de l’Agence nationale de l’habitat ; rien parmi les alertes de cybermalveillance.gouv.fr ; rien du CERT-FR, l’équipe d’alerte de l’ANSSI (l’agence de l’État chargée de la cybersécurité) ; aucune confirmation de saisine de la CNIL. Le précédent du fisc montre que ce calendrier n’a rien de théorique : la DGFiP n’avait confirmé le piratage qu’au lendemain de la mise en vente des données.

À lire Création Site WordPress Montpellier : Prix 2026

Questions fréquentes #

Comment savoir si mes données sont concernées ?

Vous ne pouvez pas le savoir aujourd’hui : aucune liste n’a été publiée, aucun outil officiel de vérification n’existe, et le service est hors ligne. Si l’attaque est confirmée, l’information passera par une communication officielle ou par votre collectivité. En attendant, tout courrier ou appel évoquant votre logement vacant mérite d’être vérifié par un canal que vous composez vous-même.

Faut-il changer ses mots de passe ?

Uniquement si vous aviez un compte sur la plateforme : agent d’une collectivité, d’un service de l’État ou prestataire — environ 3 538 comptes seraient concernés. Pour les propriétaires simplement présents dans les fichiers fonciers, aucun mot de passe n’est en jeu : ils n’avaient pas de compte. La vigilance porte sur les arnaques, pas sur vos accès.

Qui est ZeroBytes ?

Un duo de hackers français, selon la description qu’en fait franceinfo. Le groupe a revendiqué cet été les vols de données visant la DGFiP puis l’Éducation nationale. Ses revendications ne sont pas des constats : elles servent à valoriser une marchandise mise en vente.

À retenir #

• L’attaque est revendiquée et confirmée par aucune autorité au 29 août 2026 à 22 heures.
• Les chiffres mesurent des objets différents : 149 millions de lignes, 48 millions de personnes, des milliers de coordonnées. Ne les additionnez pas.
• Le vecteur d’arnaque le plus probable n’est pas le mail mais le courrier et l’appel, appuyés sur votre identité, votre adresse et votre bien.
• Ne payez jamais depuis un lien reçu ; passez par impots.gouv.fr. Signalez sur cybermalveillance.gouv.fr et auprès de la CNIL.

À lire aussi : comment repérer un hacker éthique et comment identifier un hacker éthique.

À lire Comment retrouver une personne croisée : astuces et outils pour structurer vos indices

Sources : franceinfo / France 2 (29/08/2026) · French Breaches · Cyberattaque.org · Europe Infos · franceinfo (14/08, DGFiP) · RGPD art. 33-34 (CNIL).