ZeroBytes Revendique 149 Millions De Données Logement

On croyait, à tort, que l’été numérique de l’administration française s’arrêterait aux serveurs du fisc. Mi-août, le nom de ZeroBytes s’était déjà imposé dans le débat public après le vol de données fiscales touchant des centaines de milliers de particuliers et de professionnels. Quelques jours plus tard, le même acteur affirme avoir ouvert une autre porte, plus discrète, plus technique, et potentiellement plus vaste : celle du service public Zéro logement vacant, conçu pour aider les collectivités à remettre des logements inoccupés sur le marché. La revendication parle de près de 149 millions d’enregistrements bruts. Le chiffre donne le vertige. Il ne dit pas encore, à lui seul, combien de personnes sont réellement exposées. Il dit surtout autre chose : des fichiers sensibles de propriétaires auraient circulé là où l’on ne les attendait pas forcément, sur l’infrastructure d’un outil pensé pour relancer des appartements vides, pas pour devenir le coffre-fort d’un fichier national.

Ce Que Révèle La Nouvelle Revendication De ZeroBytes

Le récit commence dans la nuit du 28 au 29 août 2026. Sur les canaux où se croisent observateurs, spécialistes et acteurs de la cybercriminalité, ZeroBytes annonce avoir accédé à la plateforme Zéro logement vacant. Le service, rattaché à l’État et utilisé par des collectivités, vise un objectif simple en apparence : identifier les logements durablement inoccupés, contacter les propriétaires, proposer des aides, relancer l’offre. Derrière cette mission de politique publique, il y a des bases. Beaucoup de bases. Des noms. Des adresses. Des identifiants. Des croisements avec des fichiers fonciers. C’est précisément ce volume que le groupe dit avoir emporté.

Le chiffre avancé n’est pas un arrondi de communication. ZeroBytes parle de 148 929 194 lignes brutes, non dédupliquées. Dans le même souffle, le groupe distingue deux masses principales : environ 82 millions d’enregistrements liés à des propriétaires présents dans l’environnement de la plateforme, et près de 67 millions de lignes associées à un fichier national de type DataFoncier / administration fiscale pour l’année 2024. Ces deux blocs, s’ils se confirment, expliquent l’impression de raz-de-marée. Ils expliquent aussi pourquoi il faut se méfier du premier réflexe : 149 millions de lignes ne veulent pas dire 149 millions de Français fichés une seule fois.

Le fichier national des propriétaires immobiliers DataFoncier (2024) était stocké et exposé sur l’infrastructure de Zéro Logement Vacant. Je l’ai donc téléchargé, ça ne vous dérange pas j’espère ?

Message attribué à ZeroBytes, adressé à l’administration fiscale

Le ton est celui que l’on connaît désormais : ironique, direct, presque théâtral. Il ne faut pas le prendre pour une preuve judiciaire. Il faut le prendre pour ce qu’il est : une revendication publique, déjà documentée par des observatoires spécialisés, et suffisamment précise pour obliger l’État à répondre. Pour l’heure, le ministère concerné n’a pas souhaité s’exprimer. Le site a été rendu inaccessible après la publication de l’affaire. Le silence, dans ce genre de séquence, n’est jamais neutre. Il peut signifier une vérification en cours. Il peut aussi signifier que l’ampleur réelle n’est pas encore tranchée.

Pourquoi 149 millions de lignes ne font pas 149 millions de victimes

Dans les fuites de données, le volume brut est une arme de communication. Il impressionne. Il circule. Il devient titre. Il fausse aussi la lecture si on le laisse seul. Une même personne peut apparaître plusieurs fois : propriétaire de plusieurs biens, présente dans plusieurs tables, recopiée d’un millésime à l’autre, croisée avec un fichier fiscal puis avec un fichier d’occupation. Un logement peut avoir plusieurs titulaires. Un titulaire peut avoir plusieurs adresses. Les doublons ne sont pas un détail statistique. Ils sont la matière même de ces bases foncières.

ZeroBytes avance lui-même une déduplication par identifiant de personne autour de 47,9 millions d’individus distincts. Une autre méthode, plus brute, fondée sur le couple nom et date de naissance, monterait au-delà de 70 millions. Ces deux estimations ne sont pas équivalentes. Elles ne sont pas non plus validées par l’administration. Elles dessinent cependant un ordre de grandeur : même après nettoyage, le périmètre potentiel dépasse largement celui du piratage du fisc révélé mi-août, officiellement chiffré à au moins 678 000 particuliers et professionnels.

Le piège serait de conclure trop vite. Une ligne de base n’est pas une identité complète. Une identité complète n’est pas forcément exploitable demain matin. Mais l’inverse est vrai aussi : même un fichier imparfait, redondant, mal nettoyé, devient dangereux dès qu’il mélange nom, date de naissance, adresse postale et identifiants de bien. C’est exactement le cocktail décrit par les premiers éléments publics.

Zéro logement vacant, un outil utile devenu cible

Pour comprendre la sensibilité de l’affaire, il faut sortir un instant du langage des pirates et revenir à celui des politiques du logement. La France compte, selon les données LOVAC, plus de 2,38 millions de logements vacants dans le parc privé, soit environ 7,2 % de ce parc. Parmi eux, plus d’1,3 million seraient inoccupés depuis plus de deux ans. En zone tendue, des centaines de milliers de logements structurellement vides pèsent sur le marché alors que la demande locative reste vive.

Zéro logement vacant n’est pas un gadget. C’est un service numérique de l’État destiné aux collectivités : repérer les logements durablement inoccupés, écrire aux propriétaires, informer sur les aides à la rénovation, prévenir aussi la vacance liée aux passoires énergétiques. L’outil s’appuie sur LOVAC, un traitement né du plan national de lutte contre les logements vacants lancé en 2020. Ce traitement croise des sources fiscales, des fichiers fonciers, des données d’adresse et des référentiels bâtiment. Autrement dit, pour bien travailler, la plateforme a besoin d’une photographie fine du parc et de ses détenteurs.

Cette photographie est précieuse pour une mairie. Elle l’est tout autant pour un acteur malveillant. Un fichier de propriétaires n’est pas seulement une liste d’identités. C’est une carte du patrimoine, un annuaire d’adresses, parfois un indicateur de vacance, parfois un signal de vulnérabilité. Un logement inoccupé depuis longtemps peut attirer autre chose que des politiques publiques. Il peut attirer des tentatives d’escroquerie, des prises de contact ciblées, des récits d’huissier imaginaires, des propositions de « régularisation » inventées de toutes pièces.

Le paradoxe est cruel. L’État construit un outil pour remettre des biens sur le marché. Pour que l’outil soit efficace, il concentre des données que le grand public n’a pas vocation à voir. Si ces données quittent le cercle des collectivités habilitées, la mission initiale se retourne. Ce n’est plus seulement une faille technique. C’est une faille de confiance dans la capacité de l’administration à protéger ce qu’elle agrège pour mieux gouverner.

Quelles informations auraient quitté la plateforme

Les descriptions publiques parlent de données de propriétaires et d’utilisateurs. Dans le détail, les fichiers pourraient contenir des noms et prénoms, des dates de naissance, des adresses postales, des identifiants associés aux personnes ou aux biens, éventuellement des éléments de comptes liés à la plateforme elle-même. Des extraits présentés comme issus de l’extraction mentionneraient aussi des courriels et des numéros de téléphone. Tant que l’administration ne publie pas un inventaire contradictoire, il faut tenir ces listes pour ce qu’elles sont : un faisceau d’indices, pas un catalogue définitif.

La présence revendiquée d’un fichier national de propriétaires immobiliers change cependant la nature du dossier. On ne parle plus seulement des usagers d’un service métier. On parle d’un stock beaucoup plus large, chargé dans l’environnement de la plateforme, et donc exposé si cet environnement n’était pas cloisonné comme il aurait dû l’être. C’est le point le plus politique de l’affaire. Un outil local, conçu pour des collectivités, aurait-il hébergé, même temporairement, une base d’ampleur nationale ?

ZeroBytes affirme aussi un chemin d’intrusion : accès initial à une instance d’analyse de données, puis identifiants d’une base de production. Ces éléments restent à vérifier. Ils ont toutefois une résonance familière. Depuis des années, les audits répètent la même leçon : les consoles d’administration, les outils de datavisualisation, les comptes de prestataires et les environnements « bêta » sont souvent moins blindés que les portails grand public. On durcit la vitrine. On néglige l’arrière-boutique. L’arrière-boutique, ici, aurait contenu le trésor.

Élément	Ce qui est dit publiquement	Ce qui reste incertain
Volume	Près de 149 millions de lignes brutes	Nombre réel de personnes uniques
Sources	Tables propriétaires + fichier foncier 2024	Périmètre exact des champs extraits
Personnes	Environ 48 millions après déduplication selon l’attaquant	Validation administrative
Réaction	Plateforme hors ligne, ministère silencieux	Notification des personnes concernées

Le fil ZeroBytes : fisc, cadastre, puis logement

Cette revendication n’arrive pas dans le vide. Fin juin et fin juillet, deux intrusions ont visé la sphère fiscale. La première, reconnue par la Direction générale des finances publiques, a concerné des données de particuliers et de professionnels, avec un bilan officiel d’au moins 678 000 personnes et structures. La seconde a touché un serveur professionnel de données cadastrales. L’attaquant a parlé de centaines de milliers de lignes et de plus de deux millions de personnes potentiellement liées à des parcelles. L’administration a retenu un chiffre plus bas sur les comptes concernés, tout en confirmant l’incident.

Le même nom est ensuite apparu dans d’autres revendications visant des systèmes publics, dont des environnements liés à l’Éducation nationale. ZeroBytes se présente comme un duo français. Dans des échanges publics, l’un des profils a nié toute motivation politique claire. L’argent, la curiosité, la possibilité de vendre : le discours est celui d’un acteur qui cherche, trouve et monétise. Après le vol fiscal, le groupe a même affirmé avoir déjà cédé des fichiers à deux acheteurs pour plusieurs milliers d’euros, tout en maintenant l’offre. Ces déclarations sont invérifiables une par une. Elles suffisent à changer le risque : une base volée n’est plus seulement entre les mains d’un pirate. Elle peut se recopier.

Le parquet de Paris a ouvert une enquête après l’affaire du fisc, notamment pour extraction frauduleuse de données et association de malfaiteurs. Le dossier logement s’inscrit dans la même séquence. Pas forcément dans le même mode opératoire. Mais dans la même stratégie apparente : viser des systèmes d’État qui agrègent de la donnée personnelle à grande échelle, puis transformer l’extraction en spectacle et en marchandise.

Au fait, les impôts, c’était que le début.

Formule déjà associée à ZeroBytes après les premières ventes revendiquées

La phrase, si elle est sincère, n’a rien d’une vantardise anodine. Elle décrit une méthode. On frappe un système visible. On observe la réaction. On cherche le voisin moins médiatique. Un service « bêta » du logement, utile, discret, alimenté par des fichiers lourds, peut sembler moins gardé qu’un portail fiscal consulté chaque jour par des millions de contribuables. C’est souvent là que se joue la différence entre la communication de crise et la sécurité réelle.

Ce que le silence administratif change pour les citoyens

Interrogé, le ministère n’a pas souhaité communiquer « à ce stade ». La formule est classique. Elle est aussi frustrante. Les propriétaires ne savent pas s’ils sont dans le lot. Les collectivités ne savent pas si leurs exports métier ont fuité. Les utilisateurs de la plateforme ne savent pas si leurs comptes ont été ouverts. Sans inventaire public, chacun est renvoyé à une anxiété floue : trop large pour agir précisément, trop précise pour être ignorée.

Le droit européen et le droit français imposent, en cas de violation de données personnelles présentant un risque, d’informer l’autorité de contrôle et, souvent, les personnes concernées. Le calendrier de cette information n’est pas un luxe de communication. C’est le moment où un particulier peut surveiller ses courriels, ses courriers, ses démarches bancaires, ses éventuelles tentatives d’ouverture de crédit. Plus l’attente s’allonge, plus les arnaques de reconversion ont le temps de s’organiser.

On peut déjà anticiper le scénario. Un appel d’un faux conseiller parlant de taxe foncière. Un message évoquant une remise sur le marché d’un logement vacant. Un courrier reprenant une adresse exacte et un nom de voie rarement connus du grand public. La force d’une fuite foncière, ce n’est pas seulement l’identité. C’est le contexte. L’escroc n’a plus besoin d’inventer une histoire. Il peut parler d’un bien réel.

Les risques concrets pour les propriétaires

Le premier risque n’est pas hollywoodien. Ce n’est pas, pour la plupart des gens, la ruine instantanée. C’est l’usurpation lente. Quelqu’un connaît votre nom, votre date de naissance, votre adresse, parfois un identifiant fiscal ou foncier. Avec ces pièces, on tente d’ouvrir un compte, de détourner un remboursement, de se faire passer pour vous auprès d’un service, de construire un dossier de crédit, de relancer une succession, de cibler un proche.

Le deuxième risque est immobilier. Un logement vacant est, par définition, un bien moins surveillé au quotidien. Si la base permet de distinguer des inoccupations longues, elle devient une carte d’opportunités pour des approches agressives : fausses offres d’achat, pressions à la vente, visites improvisées, courriers d’huissier fantômes, propositions de « gestion » miracle. Les propriétaires âgés, les indivisions, les successions non réglées sont particulièrement exposés. Ce sont déjà, dans la vie réelle, les profils que les collectivités peinent parfois à joindre. Ce sont aussi ceux que les fraudeurs savent relancer.

Le troisième risque est collectif. Si des identifiants techniques de la plateforme ont fuité, d’autres systèmes connectés peuvent devenir la cible suivante. Les administrations ne vivent plus en silos parfaits. Les fichiers se parlent. Les prestataires circulent. Un mot de passe réutilisé, un jeton oublié, une console laissée ouverte, et la chaîne continue. L’affaire du logement n’est donc pas un chapitre isolé. Elle est un test de contagion.

Une faille de doctrine plus qu’un accident isolé

On peut débattre longtemps de la personnalité de ZeroBytes. Duo, solo, mythologie construite pour la scène. Ce débat occupe. Il détourne. La question plus dure est institutionnelle : pourquoi des fichiers d’une telle densité se retrouvent-ils dans des environnements conçus pour de l’accompagnement territorial ? La numérisation de l’action publique a un avantage immense. Elle permet à une intercommunalité de travailler à partir de données fiables plutôt que de rumeurs de quartier. Elle a un coût : chaque nouvel outil devient un point d’entrée.

Les services « beta.gouv » ont souvent été salués pour leur agilité. On prototype vite. On branche des bases. On donne la main aux agents. Cette culture a produit des outils utiles, y compris dans le logement. Elle se heurte aujourd’hui à une exigence inverse : le durcissement. Cloisonner les millésimes nationaux. Séparer nettement les données de démonstration, les données de collectivité et les dumps fiscaux. Journaliser les exports. Limiter les consoles d’analyse à des réseaux contrôlés. Révoquer vite les comptes inactifs. Ces phrases semblent techniques. Elles sont devenues politiques.

Le Premier ministre a déjà reconnu, dans la séquence fiscale, des failles au sein de l’administration. La phrase était prudente. Elle était aussi un aveu de climat. On ne peut plus parler d’incident rare. On parle d’une saison. Fisc, cadastre, éducation, logement : la liste s’allonge assez pour que le citoyen cesse de croire que « ça n’arrive qu’aux autres ministères ». La donnée personnelle est devenue le pétrole administratif. Elle attire ceux qui savent la pomper.

Le logement vacant, miroir social d’une crise technique

Il y a une ironie géographique dans cette affaire. Zéro logement vacant existe parce que le pays n’arrive pas à faire coïncider l’offre et la demande. Des centres-villes se vident. Des métropoles s’étranglent. Des passoires énergétiques sortent progressivement du marché locatif. Des propriétaires héritent d’un bien qu’ils ne savent pas rénover. L’État répond par la data. Il cartographie. Il cible. Il écrit. Cette réponse est rationnelle. Elle suppose toutefois que la carte reste dans les mains de ceux qui ont le droit de s’en servir.

Quand la carte fuit, le problème social ne disparaît pas. Il s’aggrave d’une couche de méfiance. Un propriétaire déjà réticent à ouvrir sa porte à une collectivité hésitera davantage s’il lit que son nom a pu voyager avec l’adresse de son bien vacant. Une mairie qui commençait à relancer des logements anciens devra d’abord rassurer. Le temps perdu n’est pas virtuel. C’est un appartement qui reste fermé un hiver de plus. C’est une rue qui continue de s’éteindre.

On touche ici le cœur politique du sujet, au-delà de la technique. L’action publique numérique ne peut plus se justifier seulement par l’efficacité. Elle doit prouver qu’elle sait garder. Garder les secrets fiscaux. Garder les adresses. Garder le fait qu’un logement est vide. Cette dernière information, anodine sur un tableur, devient intime dès qu’elle est reliée à un nom. Elle dit quelque chose de la vie d’une famille, d’une succession, d’un départ en maison de retraite, d’un investissement malheureux.

Comment lire les prochaines heures sans se laisser emporter

Trois scénarios sont désormais ouverts. Dans le premier, l’administration confirme une extraction massive, publie un périmètre, lance des notifications. Le débat se déplace alors vers les responsabilités, les prestataires, les architectures. Dans le deuxième, l’État reconnaît un incident plus limité que la revendication : des tables accessibles, oui, mais pas l’intégralité du roman de 149 millions de lignes. Le chiffre de ZeroBytes serait alors un mélange de doublons, d’archives et d’exagération stratégique. Dans le troisième, le silence se prolonge, les échantillons circulent, le marché parallèle s’organise avant même le communiqué officiel. C’est le pire pour les citoyens, parce qu’il inverse l’ordre des priorités : d’abord le spectacle, ensuite la protection.

Il faudra aussi juger la qualité des preuves. Un dump annoncé n’est pas un dump authentifié. Des observateurs indépendants disent déjà avoir vu des échantillons cohérents avec des données foncières et des comptes utilisateurs. Cela pèse. Cela ne clôt pas. La seule boussole honnête, aujourd’hui, est la prudence : prendre la revendication au sérieux, refuser le chiffre magique, exiger un inventaire, préparer les réflexes anti-arnaque.

ZeroBytes a compris une chose que les communicants publics mettent parfois trop de temps à admettre. Dans l’attention contemporaine, le volume gagne. « 149 millions » circule plus vite que « lignes non dédupliquées issues de deux tables redondantes ». Le travail d’une rédaction sérieuse, et d’un lecteur adulte, consiste à ralentir cette course. Non pour minimiser. Pour mesurer.

Ce que cette affaire dit de la souveraineté numérique au quotidien

On parle souvent de souveraineté comme d’un dossier industriel : clouds, puces, câbles, normes. L’affaire du logement ramène la notion à hauteur d’immeuble. La souveraineté, ici, c’est la capacité d’un État à savoir qui habite où, quels murs restent vides, quels propriétaires peuvent être aidés, sans que cette connaissance devienne une marchandise. Si cette capacité fuit, ce n’est pas seulement une administration qui est blessée. C’est le contrat tacite entre le contribuable et la machine publique.

Ce contrat était déjà ébranlé par la séquence fiscale. Il l’est davantage si un outil d’aménagement du territoire se transforme en entrepôt. Les collectivités, elles, se retrouvent dans une position ingrate. Elles n’ont pas conçu seules l’architecture nationale. Elles ont besoin de l’outil. Elles en porteront pourtant, localement, la colère des habitants. « C’est la mairie qui m’a écrit l’an dernier, donc c’est la mairie qui a laissé filer mon adresse. » Le raisonnement sera souvent faux. Il sera humain.

Il existe des précédents étrangers, des fuites cadastrales, des bases immobilières vendues, des registres de propriétaires exposés. La France n’invente pas le risque. Elle découvre, à répétition cet été, qu’elle n’y était pas assez préparée. Le temps des audits après coup ne suffira plus. Il faudra des règles d’architecture avant coup : quelles données un service métier a-t-il vraiment le droit d’héberger ? Pendant combien de temps ? Sous quelle segmentation ? Avec quelle supervision indépendante ?

Et maintenant ?

Le site est hors ligne. Le ministère se tait. Les observateurs compilent. Les pirates mettent en scène. Les propriétaires, eux, attendent une phrase simple : êtes-vous concerné, oui ou non, et par quoi exactement ? Tant que cette phrase n’existe pas, la seule conduite raisonnable est défensive. Pas de panique théâtrale. Pas de naïveté non plus. Un fichier de logement n’est pas une anecdote de forum. C’est une clé possible vers des vies ordinaires.

ZeroBytes a choisi son terrain avec un sens certain du symbole. Après l’impôt, le toit. Après ce que l’on doit à l’État, ce que l’on possède encore. La séquence n’est peut-être pas finie. Elle a déjà suffisamment de consistance pour poser une question que plus aucune circulaire ne pourra éluder : à force d’empiler des bases pour mieux gouverner, l’administration française a-t-elle oublié de fermer les portes de derrière ?

La réponse, on la connaîtra moins dans les communiqués que dans les semaines qui viennent : notifications ou silence, ventes ou démentis, enquêtes ou brouillard. En attendant, le chiffre de 149 millions continuera de voyager. À nous de ne pas le laisser voyager tout seul, sans ses doublons, sans ses zones d’ombre, sans la vie réelle des gens dont les adresses, un dimanche d’août, se sont peut-être retrouvées dans un butin.