Cybersécurité de l'État : nouvelle fuite massive de données ce week-end

Les cyberattaques ciblant les administrations publiques franchissent un nouveau palier cet été. Quelques semaines après l'intrusion détectée dans les serveurs de la Direction générale des finances publiques et de l'Éducation nationale, l'appareil d'État subit une nouvelle faille majeure sur ses plateformes numériques.

Une nouvelle cyberattaque massive contre la plateforme Zéro logement vacant

Le groupe de cybercriminels ZeroBytes a revendiqué, le week-end du 30 août, l'extraction de 148,9 millions de lignes d'enregistrements bruts depuis le portail public Zéro logement vacant, selon les informations rapportées par Clubic. Face à cet incident d'envergure, le ministère de la Transition écologique, de la Ville et du Logement a suspendu immédiatement les accès au portail pour endiguer l'intrusion et lancer des expertises techniques.

Cette opération marque une récidive estivale particulièrement rapide. Quinze jours plus tôt, ce même collectif revendiquait déjà le piratage de plusieurs bases de données sensibles auprès des services fiscaux de la DGFiP et du ministère de l'Éducation nationale.

Données foncières compromises et vulnérabilité des serveurs publics

Le volume d'informations dérobé concerne l'édition 2024 du fichier DataFoncier, soit environ 48 millions de personnes physiques distinctes. La fuite expose les noms, prénoms, dates de naissance, adresses postales complètes, identifiants cadastraux et droits de propriété de la quasi-totalité des propriétaires français, et pas uniquement les détenteurs d'un bien inoccupé. Les coordonnées bancaires et les mots de passe des usagers ne figurent en revanche pas dans ces fichiers.

Les assaillants soulignent que "Le fichier national des propriétaires immobiliers DataFoncier (2024) était stocké sans protection adéquate," pointant également la compromission d'accès administratifs. L'attaque met au jour une vulnérabilité d'architecture liée à la présence de registres nationaux centralisés, issus de la base LOVAC et du cadastre, sur une plateforme ministérielle secondaire. Conformément à l'article 33 du RGPD, une notification officielle de violation de données a été transmise à la CNIL.

Faux avis d'imposition et usurpation : comment se protéger

Cette fuite d'informations ouvre la voie à des campagnes d'escroqueries ciblées. En disposant de vos parcelles cadastrales et de votre état civil, des fraudeurs peuvent élaborer de faux avis de taxe foncière, des relances de régularisation ou des offres frauduleuses de rénovation énergétique d'une grande précision.

La prudence reste de mise face aux courriels et messages suspects. L'administration ne demande jamais de coordonnées bancaires par message direct, et les paiements s'effectuent uniquement sur le site sécurisé impots.gouv.fr. En cas d'anomalie, effectuez un signalement sur la plateforme officielle cybermalveillance.gouv.fr ou sur Pharos. Si une usurpation d'identité est avérée, déposez plainte sans délai auprès d'un commissariat ou d'une brigade de gendarmerie.