Immofacile : ChimeraZ revendique 171 000 professionnels de l'immobilier exposés

Le cybercriminel ChimeraZ poursuit sa séquence contre l'immobilier français avec la publication d'une base attribuée à Immofacile, logiciel de gestion d'agence aujourd'hui intégré au catalogue du groupe Orisha Real Estate. Selon l'inventaire diffusé sur son forum de revendication, l'archive recense plus de 171 000 personnes pour un volume d'environ 186 Mo au format JSON. L'observatoire Cyberattaque.org a publié l'analyse, recoupée par FrenchBreaches dans son suivi de la campagne. À la rédaction de ce billet, ni Immofacile ni Orisha Real Estate n'avaient publié de communiqué.

Qui est concerné

Immofacile est l'un des progiciels de gestion les plus déployés dans le réseau d'agences indépendantes et de franchises françaises. La solution couvre la gestion des biens, des collaborateurs, des contacts, des sites vitrines et la diffusion d'annonces vers les portails (SeLoger, Leboncoin, Logic-Immo et autres). Elle est utilisée par de multiples enseignes nationales, réseaux et structures indépendantes pour piloter leur activité quotidienne. La revendication précise que la fuite porte sur une base partielle de l'écosystème Immofacile, sans détailler les agences précisément couvertes.

Nature des données

Sur la base des échantillons publiés et de l'analyse de Cyberattaque.org, les enregistrements croisent profils de professionnels (mandataires, négociateurs, gestionnaires) et contacts métiers rattachés à leurs portefeuilles :

• Nom, prénom, adresse e-mail professionnelle, numéro de téléphone.
• Affectation à une agence, fonction, identifiants internes au système.
• Métadonnées de gestion commerciale (suivi de mandats, comptes rendus, accès partenaires).
• Adresses postales et coordonnées de biens administrés.

Le matériau n'est pas un fichier client B2C grand public, mais un annuaire opérationnel B2B : il cartographie les flux internes d'agences immobilières françaises, leur rattachement hiérarchique et leurs accès aux outils tiers. C'est précisément ce qu'il faut pour préparer une campagne de phishing ciblée sur les conseillers, une usurpation d'agence sur les portails de diffusion, ou une fraude au virement sur un acte de vente.

Statut de la revendication

ChimeraZ diffuse l'archive en accès direct sur son forum habituel, sans phase d'enchère. L'authenticité s'appuie sur la cohérence des échantillons relevée par les deux observatoires francophones, et sur la signature opératoire identique aux précédentes publications de l'attaquant. Aucune confirmation officielle n'est venue d'Immofacile ni d'Orisha Real Estate. Le vecteur d'intrusion — compromission d'un compte administrateur, accès API exposé, prestataire de l'écosystème — n'est pas documenté publiquement et reste à confirmer par l'éditeur.

Que faire

1. Agences clientes d'Immofacile : présumer que vos identifiants applicatifs, ceux de vos collaborateurs et les coordonnées de votre carnet professionnel ont circulé. Demander à l'éditeur la confirmation du périmètre exact pour votre instance et la date présumée d'exfiltration.
2. Conseillers et négociateurs : changer immédiatement le mot de passe Immofacile et celui de la messagerie professionnelle associée. Révoquer les jetons OAuth, sessions persistantes et accès tiers (portails, signature électronique, outils marketing) qui partagent le même identifiant.
3. DSI agence / réseau : activer la double authentification sur toutes les sessions Immofacile, auditer les journaux d'authentification et d'export sur les six derniers mois, rechercher les requêtes API à fort volume sortantes vers des IP non listées, et rotation des secrets partagés avec les portails de diffusion d'annonces.
4. Acquéreurs et vendeurs en cours de transaction : redoubler de prudence sur tout message de votre agence relatif à un virement, à un acompte ou à des frais. Confirmer par téléphone, sur un numéro déjà connu, toute coordonnée bancaire ou demande de paiement inhabituelle dans la phase actuelle.
5. Conformité : la combinaison données identifiantes, données professionnelles et volume au-dessus de 100 000 personnes place l'incident au-dessus des seuils de gravité habituels de la CNIL. Documenter la chronologie d'apprentissage de l'incident pour le compteur des 72 heures prévu à l'article 33 du RGPD, et préparer la notification de l'article 34 aux personnes concernées.

Contexte

Immofacile rejoint une série désormais documentée de revendications ChimeraZ visant l'écosystème immobilier français depuis fin mai 2026 : Capifrance (785 558 personnes), Propriétés Privées (2,5 millions), Homepad (625 000) et Leboncoin Immobilier (4 millions d'annonces). L'attaquant lui-même évoque un « black June » du secteur et plusieurs publications encore à venir.

La cible déplace cette fois la pression d'un cran : après les réseaux de mandataires et les portails B2C, c'est un éditeur de logiciel opérant pour des milliers d'agences qui apparaît dans le calendrier. Le risque structurel — un seul progiciel SaaS au-dessus de quelques milliers d'agences — est exactement celui que les leçons des compromissions de cabinets comptables et de PMS hôteliers documentent depuis cinq ans. Les concurrents directs d'Immofacile sur ce segment — Hektor, Apimo, Netty, Périclès — disposent désormais d'un délai utile pour auditer leur propre surface API et leurs accès prestataires avant que leur nom n'apparaisse à son tour sur le forum de ChimeraZ.