Zéro Logement Vacant : la plateforme du ministère du Logement hors service depuis le 30 août, un fichier de propriétaires revendiqué

Depuis le dimanche 30 août 2026, la plateforme publique Zéro Logement Vacant n'est plus accessible. Un acteur cybercriminel revendique en avoir exfiltré la base, ainsi qu'un fichier national de propriété foncière. À l'heure où nous écrivons, ni le ministère de la Ville et du Logement, ni la DGFiP, ni la CNIL n'ont confirmé publiquement l'incident ni son ampleur.

Le sujet dépasse la simple panne d'un site administratif : l'outil concerné manipule, par construction, des données nominatives de propriétaires de logements.

De quoi parle-t-on ?

Zéro Logement Vacant est un service numérique développé au sein de l'incubateur beta.gouv, piloté par la Direction générale de l'aménagement, du logement et de la nature dans le cadre du Plan national de lutte contre les logements vacants. Il est gratuit et réservé aux collectivités à fiscalité propre, aux services déconcentrés de l'État, à l'Anah et à leurs prestataires.

Sa fonction : permettre à une commune d'identifier les logements vacants de son territoire et de prendre contact avec leurs propriétaires pour les inciter à remettre le bien sur le marché. Il est alimenté par les données LOVAC, produites annuellement par le Cerema à partir des fichiers fiscaux, et croisées avec les fichiers fonciers. Plus de 100 000 propriétaires ont déjà été contactés par ce canal ; LOVAC recense environ 1,35 million de logements vacants depuis au moins deux ans dans le parc privé.

C'est donc, par nature, une base qui associe une adresse de bien, une situation de vacance et l'identité de son propriétaire.

Ce qui est revendiqué — et ce qui ne l'est pas

La revendication, publiée le 28 août sur un forum, porte sur environ 148,9 millions de lignes brutes. Ce chiffre ne correspond pas à un nombre de personnes : il additionne plusieurs tables, dont une base applicative d'environ 82 millions de lignes et un fichier de propriété foncière millésime 2024 d'environ 67 millions de lignes, avec de nombreux doublons. Les estimations de personnes réellement distinctes varient fortement selon la méthode de déduplication retenue.

Les catégories de données annoncées par l'auteur de la revendication sont, pour les propriétaires : civilité, nom, prénom, date de naissance, adresse postale, code postal, identifiant fiscal et, le cas échéant, numéro SIREN. S'y ajoutent des données d'agents de collectivités (adresse professionnelle, empreinte de mot de passe, rôle), des jetons de session et adresses IP, et les SIREN des organisations utilisatrices.

Deux précisions importantes, à ce stade :

• aucune donnée bancaire ni de santé ne figure dans les catégories annoncées ;
• les volumes et le contenu proviennent de l'auteur de la revendication et n'ont pas été validés par une autorité publique. Ils doivent être lus comme des allégations tant qu'une notification officielle n'a pas eu lieu.

Le vrai risque pour un propriétaire : l'hameçonnage ciblé

Un jeu de données qui associe une identité, une adresse de résidence, l'adresse d'un bien vacant et un identifiant fiscal constitue une matière première idéale pour de l'hameçonnage crédible. Pas la fraude bancaire directe — il n'y a pas de coordonnées bancaires — mais l'usurpation d'identité administrative et le démarchage frauduleux.

Les scénarios à anticiper dans les semaines qui viennent :

• un courriel ou un SMS se présentant comme émanant de la commune ou de l'Anah, faisant référence à votre logement vacant, et invitant à « régulariser » via un lien ;
• un message prétendument fiscal, exploitant la réforme de la taxe sur les logements vacants ou la campagne de taxe foncière en cours, avec une promesse de remboursement ou une menace de pénalité ;
• un démarchage téléphonique « travaux » ou « remise en location », d'autant plus convaincant que l'interlocuteur connaît l'adresse exacte du bien et sa situation.

Trois réflexes suffisent à neutraliser l'essentiel. Ne jamais cliquer sur un lien reçu par message pour accéder à un service fiscal ou administratif : saisir soi-même l'adresse du site. Rappeler la mairie sur son numéro officiel, jamais sur celui indiqué dans le message. Et se souvenir que, depuis le 11 août 2026, le démarchage téléphonique suppose un consentement préalable : un appel non sollicité est déjà, en lui-même, un signal.

Vos droits si l'incident est confirmé

Le règlement général sur la protection des données impose au responsable de traitement de notifier la violation à la CNIL sous 72 heures après en avoir pris connaissance, et d'en informer individuellement les personnes concernées lorsque le risque pour leurs droits et libertés est élevé. Une plainte peut être déposée auprès de la CNIL par toute personne s'estimant concernée.

Dans l'immédiat, la seule mesure réellement utile est défensive : traiter avec méfiance toute sollicitation entrante qui fait référence à un bien immobilier vous appartenant, quelle que soit la précision des informations qu'elle contient. La précision n'est plus une preuve d'authenticité.

Sources

• Batiactu — Un site du ministère du Logement inaccessible, des pirates informatiques revendiquent l'attaque
• Fuites Infos — Zéro Logement Vacant : 148,9 millions de lignes revendiquées, dont un fichier national de propriétaires fonciers
• beta.gouv.fr — Fiche du service public numérique Zéro Logement Vacant
• data.gouv.fr — Logements vacants du parc privé par commune (données LOVAC, Cerema)
• Ministères Transition écologique, Aménagement du Territoire, Ville et Logement — Plan national de lutte contre les logements vacants

Photo : FlyD — Unsplash — cadenas posé sur un ordinateur portable