Capifrance victime d'une cyberattaque : près de 800 000 personnes concernées
Le réseau de conseillers immobiliers indépendants Capifrance est à son tour frappé par une fuite massive de données. Un cybercriminel opérant sous le pseudonyme ChimeraZ revendique la publication d'une importante base de données attribuée à l'enseigne, représentant près de 3,6 millions d'enregistrements pour environ 785 558 personnes distinctes. Une attaque qui s'inscrit dans une vague de piratages visant spécifiquement le secteur immobilier français depuis le début du mois de juin.
Selon les éléments publiés par le pirate, les données proviendraient de plusieurs modules du logiciel de gestion de la relation client (CRM) utilisé par le réseau immobilier. Les fichiers diffusés couvrent une large partie de l'activité commerciale de l'enseigne : noms et prénoms, dates et lieux de naissance, adresses postales complètes, adresses e-mail, numéros de téléphone, mais aussi informations sur les visites immobilières, historiques de transactions, mandats et signatures électroniques de documents.
L'ampleur des ensembles revendiqués donne le vertige : 1,6 million d'événements et de visites, 926 000 fiches contacts, 554 000 enregistrements liés à des transactions et 458 000 signatures électroniques, auxquels s'ajoutent des informations sur les collaborateurs du réseau. Plusieurs années d'activité immobilière seraient ainsi concernées, touchant aussi bien des particuliers que des professionnels intervenant dans des opérations de vente ou d'achat.
Un risque élevé de phishing ciblé et d'usurpation d'identité
Le danger de cette fuite tient à la richesse des informations croisées. Les données exposées permettent potentiellement de reconstituer le parcours immobilier complet de nombreuses personnes : prise de contact, visites de biens, négociations, signatures et transactions. La présence simultanée d'éléments d'identité, de coordonnées complètes et de détails sur des opérations immobilières pourrait faciliter des campagnes de phishing particulièrement crédibles — par exemple de faux courriels d'un notaire ou d'un conseiller demandant un virement — ou des tentatives d'usurpation d'identité. Les escroqueries au faux conseiller bancaire, déjà en plein essor, trouvent dans ce type de bases un terreau idéal, comme l'avait montré la fuite de 10 millions de données personnelles chez Relais Colis en février dernier.
À ce stade, aucune confirmation officielle de la compromission n'a été communiquée par Capifrance, et l'origine exacte des données comme leur fraîcheur restent à établir. Le réseau, qui fédère plusieurs milliers de conseillers indépendants sur tout le territoire, devra néanmoins, si la fuite est avérée, notifier l'incident à la CNIL dans les 72 heures conformément au RGPD et informer individuellement les personnes concernées lorsque le risque pour leurs droits est élevé. Filiale du groupe Digit RE, l'enseigne s'appuie massivement sur ses outils numériques pour animer son réseau de mandataires, ce qui rend ce type de compromission d'autant plus sensible : c'est l'ensemble de la chaîne de confiance entre conseillers, vendeurs et acquéreurs qui se trouve fragilisée.
L'immobilier français, nouvelle cible privilégiée des cybercriminels
Cette revendication intervient alors que plusieurs acteurs de l'immobilier français ont récemment fait l'objet d'attaques similaires. Le réseau Propriétés Privées s'est ainsi vu attribuer une fuite touchant environ 2,5 millions de personnes, tandis que d'autres agences de taille plus modeste ont également été visées ces dernières semaines. Les bases de données immobilières sont particulièrement recherchées par les cybercriminels en raison de la richesse des informations qu'elles contiennent sur les propriétaires, acheteurs, vendeurs et investisseurs — autant de profils jugés solvables et donc lucratifs pour les fraudeurs.
Pour les personnes potentiellement concernées, les réflexes de prudence s'imposent : se méfier des courriels et appels non sollicités évoquant un projet immobilier passé, ne jamais communiquer de coordonnées bancaires à la suite d'un démarchage, et vérifier systématiquement l'identité de tout interlocuteur se présentant comme notaire, conseiller ou banquier. Le phénomène des données clients exploitées à des fins frauduleuses ne cesse de s'amplifier en France, comme l'a récemment illustré la cyberattaque contre Voyage Privé, dont les données clients ont déjà été exploitées. En attendant une réaction officielle de Capifrance, la vigilance reste le meilleur rempart.