SNEXI : données immobilières et digicodes revendiqués

Une cyberattaque déjà confirmée chez SNEXI

Le point de départ est établi : SNEXI a confirmé qu'une cyberattaque avait touché son site le 2 septembre 2026 et qu'elle avait entraîné une violation de données personnelles. Selon Cyberattaque.org, l'entreprise indiquait alors que, selon les profils, des noms, prénoms, adresses e-mail, adresses postales et numéros de téléphone pouvaient être concernés. Elle précisait que les investigations devaient encore déterminer le périmètre réel de l'incident.

Cette confirmation ne valide pas automatiquement chaque chiffre publié ensuite sur un forum cybercriminel. Elle permet en revanche de distinguer deux niveaux de faits : l'existence de l'incident est confirmée par SNEXI, tandis que le contenu précis et l'ampleur de la base maintenant mise en vente restent une revendication externe.

Une base Oracio revendiquée par un pseudonyme

Le 27 septembre, une publication attribuée au pseudonyme ChimeraZ a affirmé vendre une base provenant d'Oracio. Oracio est une application utilisée dans le cadre des états des lieux : son site indique qu'elle permet de centraliser des constats, des informations de logements et l'administration de donneurs d'ordre et d'opérateurs. Ce contexte explique que des dossiers puissent réunir des données sur un bien, son occupant, son propriétaire ou son gestionnaire.

FrenchBreaches rapporte que l'auteur revendique 118 995 enregistrements relatifs à des lots immobiliers et 96 274 personnes. Il évoque aussi 72 799 numéros de téléphone, 69 855 adresses e-mail et 45 199 propriétaires. Ces nombres sont ceux avancés par l'auteur de la publication. SNEXI n'a pas confirmé ce décompte, ni indiqué qu'il correspondait au périmètre final de l'incident du 2 septembre.

Les digicodes : un risque qui dépend de leur validité

L'élément le plus préoccupant de cette nouvelle revendication est la présence annoncée de 1 856 digicodes. FrenchBreaches indique que le champ correspondant apparaît dans la structure de l'échantillon qu'il a consulté, mais qu'il n'est pas renseigné dans l'exemple présenté. L'auteur affirme avoir identifié des codes renseignés dans l'ensemble de la base.

Un digicode encore actif et associé à une résidence précise ne relève pas du même risque qu'une simple adresse e-mail : il pourrait concerner l'accès physique à un immeuble. Toutefois, aucun élément public ne permet de savoir quels codes seraient actifs, à quelle entrée ils correspondraient, quand ils auraient été enregistrés, ni même si la base alléguée provient directement de la cyberattaque confirmée. Il ne faut donc pas traiter ces codes comme des accès prouvés et immédiatement exploitables.

Pourquoi les arnaques immobilières peuvent sembler crédibles

La combinaison revendiquée, si elle est authentique, est plus sensible que chaque donnée isolée. Un escroc qui connaîtrait le nom d'un locataire, son téléphone, son adresse et le contexte d'un logement pourrait se faire passer pour une agence, un propriétaire, un gestionnaire ou un intervenant chargé d'un diagnostic. Il pourrait citer un rendez-vous ou une résidence pour créer la confiance avant de réclamer un document, un paiement ou un code reçu par SMS.

Cela ne prouve pas qu'une campagne de fraude est en cours. C'est le mécanisme de risque à surveiller : un détail exact ne rend pas un interlocuteur légitime. La publication antérieure examinée par Cyberattaque.org rapportait elle aussi des dossiers contenant des informations sur des locataires, propriétaires, logements et agences, mais sans permettre d'établir une compromission autonome des systèmes de Citya.

Les réflexes utiles pour les personnes concernées

Si vous avez récemment eu un état des lieux, un diagnostic ou une relation avec un gestionnaire immobilier, méfiez-vous particulièrement d'un contact non sollicité qui cite votre logement. Ne communiquez jamais un code reçu par SMS à une personne qui vous appelle : ce code peut servir à valider une connexion ou une opération à votre place.

Ne répondez pas non plus à un message qui vous demande de confirmer vos coordonnées ou de transmettre une pièce d'identité. Raccrochez, puis retrouvez vous-même le site ou le numéro de l'organisme concerné. Pour exercer vos droits relatifs aux données, la charte publiée par SNEXI indique l'adresse rgpd@snexi.fr. Vérifiez toujours cette adresse depuis le site officiel avant de l'utiliser, plutôt que depuis un lien reçu.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment que les 118 995 enregistrements, les 96 274 personnes, les 1 856 digicodes ou les autres décomptes annoncés par ChimeraZ sont exacts. Nous ne savons pas non plus si les données ont été obtenues lors de l'incident du 2 septembre, par une autre voie, ni quelle méthode aurait permis leur accès.

Nous ne pouvons pas déterminer combien de codes seraient encore valides, s'ils seraient associés à une adresse ou à une entrée précise, ni si ces informations ont été utilisées à des fins frauduleuses. Enfin, l'incident confirmé par SNEXI ne suffit pas à confirmer une compromission distincte des systèmes d'autres organisations citées dans les données alléguées.

Sources : Cyberattaque.org ↗ · SNEXI ↗ · Oracio ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.