Après la DGFiP cet été, le même pseudonyme cybercriminel s’attaque à un autre service numérique public. ZeroBytes affirme avoir siphonné la base de Zéro Logement Vacant, une plateforme pour les collectivités pour identifier les logements vides et leurs propriétaires. 149 millions d’enregistrements auraient été récupérés.
Ce que le groupe affirme avoir pris
ZeroBytes a publié sur un forum cybercriminel la revendication d’un accès à l’infrastructure de Zéro Logement Vacant, rapporte FrenchBreaches. Le groupe avance 148 929 194 lignes brutes. Deux ensembles concentreraient l’essentiel de la donnée : environ 82 millions de lignes liées aux propriétaires et près de 67 millions issues d’un fichier national rattaché à la DGFiP et à DataFoncier. Les attaquants seraient d’abord passés par un outil interne d’analyse de données pour observer la configuration du service, avant d’y découvrir un mot de passe laissé visible qui donnait accès à la base de données.
Un échantillon a été mis en ligne pour appuyer la démonstration, tandis que l’ensemble complet serait proposé contre rémunération.
Un pseudonyme déja sur le devant de la scène cet été
ZeroBytes avait déjà revendiqué une attaque au mois d’août, un accès illégitime au système d’information de la DGFiP, confirmé par le ministère de l’Action et des Comptes publics. Cette intrusion, possible grâce à l’usurpation des identifiants d’un agent et d’un tiers habilité entre juin et juillet, a exposé les données de 678 000 particuliers et professionnels. Elle a donné lieu à des excuses inédites de Bercy, détaillées par la directrice générale des Finances publiques lors d’une conférence de presse le 18 août.
Une revendication qui n’a, pour le moment, pas été confirmée
Cette avalanche de chiffres invite toujours à la prudence. En mars dernier, l’ANSSI, par la voix de son dirigeant Vincent Strubel évoquait à propos des annonces de vols de données une partie de “bluff” destinée à amplifier artificiellement l’ampleur de certaines attaques.
Le cas de Zéro Logement Vacant rappelle qu’il faut trier le signal du bruit. Le nombre brut de 149 millions de lignes ne correspond ni à 149 millions de comptes piratés, ni à 149 millions de personnes disctinctes touchées. L’information n’est pas non plus confirmée par l’entité elle-même attaquée, mais les premiers éléments semblent solides. L’expérience le prouve : parfois, c’est la revendication elle-même qui donne le signal d’alerte à une organisation.
