Si tu as scrollé X ou TikTok ce week-end, tu n'as pas pu la rater. Depuis vendredi, le nom ZeroBytes tourne en boucle, avec un chiffre qui donne le vertige et un site du gouvernement qui affiche porte close. Entre revendication XXL, captures d'écran et mèmes sur la sécu de l'État, le buzz est total. On fait le tri, à froid, entre ce qui est avéré et ce qui reste au conditionnel.
La séquence du week-end : revendication massive et site HS
Le point de départ, c'est une revendication. Les 28-29 août 2026, le groupe ZeroBytes affirme avoir piraté Zéro Logement Vacant, le service numérique de l'État destiné à accompagner les collectivités dans la remise sur le marché des logements vacants.
Selon cette revendication, non confirmée officiellement au 30 août, le groupe aurait extrait 148 929 194 lignes brutes, correspondant à environ 47 948 974 personnes distinctes après déduplication par identifiant. Ce sont les chiffres avancés par ZeroBytes lui-même, à prendre au conditionnel tant qu'aucune autorité ne les a validés.
Ce qui est constaté, en revanche, c'est l'inaccessibilité de la plateforme. Le site Zéro Logement Vacant, rattaché au ministère du Logement, était inaccessible ce dimanche 30 août 2026, après la révélation de cette revendication par le site spécialisé French Breaches. Interrogé par l'AFP, le ministère n'a pas souhaité communiquer à ce stade.
Même son de cloche au sommet de l'exécutif. Sans confirmer l'attaque, le Premier ministre a reconnu des failles au sein de l'administration française, samedi 29 août. Sébastien Lecornu a illustré la situation ainsi : "Globalement, on avait une maison qui était bien fermée avec une porte blindée (...). Malheureusement, la clé a été mise sous le paillasson. Il a été dit dans tout le quartier que la clé était sous le paillasson". Au 30 août, l'attaque reste donc non confirmée officiellement.
Pourquoi ça te concerne même si tu n'as jamais entendu parler de la plateforme
C'est tout le sel de cette affaire, et la raison pour laquelle elle affole autant. Zéro Logement Vacant n'est pas un site où tu t'inscris pour chercher un appart.
Créée en 2020 par la Fabrique numérique de l'Écologie, rattachée au ministère de la Transition écologique, avec l'Agence nationale de l'habitat (ANAH), la plateforme est un outil pro. Les chargés d'habitat des collectivités l'utilisent pour repérer les propriétaires de logements vacants et les inciter à remettre leurs biens sur le marché, sur environ 1,35 million de logements concernés en France. Tu peux donc y figurer sans jamais avoir ouvert de compte, sans connaître le service et sans aucun moyen de savoir que tu y es.
Et c'est là que la revendication fait mal. Selon ZeroBytes, les données extraites proviendraient des fichiers DataFoncier et de ceux de la Direction générale des finances publiques. Le groupe affirme avoir récupéré noms, dates de naissance, adresses postales et identifiants immobiliers des propriétaires, ainsi que des données de connexion appartenant aux agents des collectivités utilisatrices du service.
Là encore, nature et origine des données décrites uniquement par ZeroBytes, non vérifiées indépendamment. Mais si la revendication disait vrai, on parle de données d'identité non modifiables. Comme le résume un observateur : impossible de changer un nom, une date de naissance ou une adresse pour se protéger, contrairement à un mot de passe.
Comment le buzz s'est emballé et pourquoi l'histoire rappelle la DGFiP
Sur les réseaux, la réaction a été immédiate : sidération, colère, et second degré bien noir. Cette cyberattaque intervient après une longue série de vols de données sur les sites publics. Sur X, certains internautes accusent la France d'être devenue une passoire. Le mème est facile, le fond beaucoup moins drôle.
D'autant que selon la méthode décrite par ZeroBytes - toujours au conditionnel et non confirmée - l'intrusion aurait été d'une simplicité déconcertante. Les pirates disent être passés par une session superutilisateur de Metabase, un logiciel d'analyse de données, avant de découvrir des identifiants PostgreSQL en clair, puis d'accéder directement à la base de production, hébergée chez l'entreprise française Clever Cloud.
Le précédent n'aide pas à calmer le feed. Fin juin, ZeroBytes avait déjà revendiqué le piratage de la Direction générale des finances publiques, découvert seulement le 12 août par l'administration. Environ 678 000 comptes de particuliers et de professionnels avaient alors été exposés, à l'aide d'identifiants dérobés à un agent de la DGFiP et à un tiers autorisé. Une séquence qui nourrit aujourd'hui l'impression d'une série noire.
Ce qu'on ne sait pas encore et les bons réflexes
À ce stade, il faut être très clair : aucune confirmation officielle de compromission n'a été apportée, et aucune quantification définitive du nombre de personnes concernées ne peut être avancée avant une communication du ministère. Tout ce qui circule sur les chiffres ou le contenu exact de la fuite relève de la revendication du groupe.
En attendant, pas besoin de paniquer, mais pas question non plus de scroller comme si de rien n'était. Les bons réflexes, ce sont les classiques qui marchent vraiment contre le phishing et l'usurpation qui suivent souvent ce type de buzz :
- Méfie-toi des mails, SMS ou appels qui prétendent venir de l'administration et te demandent de cliquer ou de payer. La DGFiP ou l'ANAH ne te demanderont jamais tes identifiants comme ça.
- Ne relaie pas de fichiers, listes ou captures prétendument issus de la fuite. Partager des données non vérifiées, c'est exposer d'autres personnes et t'exposer toi.
- Surveille tes espaces personnels (impots.gouv.fr, identité numérique) et active la double authentification partout où c'est possible.
- Si tu es démarché de manière insistante au sujet d'un bien immobilier, vérifie toujours par les canaux officiels de ta collectivité.
L'affaire reste à suivre de très près. Tant que le ministère ne communique pas, la seule attitude qui tient, c'est de suivre les canaux officiels et de ne pas amplifier la rumeur. On update dès qu'il y a du solide.
