Le maillon faible est votre prestataire

Pourquoi un prestataire peut-il faire tomber tout un immeuble ?

Un immeuble ne se gère pas seul. Le syndic s’appuie sur un chauffagiste, un ascensoriste, un diagnostiqueur, un éditeur de logiciel, un infogérant, une plateforme d’encaissement. Chacun détient une clé : un accès à un portail, un compte sur un outil partagé, une base où figurent les noms des copropriétaires, parfois le code de la porte. Quand l’un d’eux est compromis, l’immeuble en subit les conséquences sans avoir été visé.

Les quatre cas qui suivent sont documentés par des sources primaires ou de premier rang : rapport parlementaire, dépôts boursiers, décisions de justice, avis d’autorités, déclaration d’une victime. Ils ne concernent pas tous des immeubles ; ils montrent le même mécanisme.

Target et Fazio : le compte du chauffagiste ouvre le réseau du magasin (2013)

Fazio Mechanical Services, à Sharpsburg en Pennsylvanie, entretient des installations de chauffage et de réfrigération ; la chaîne de magasins Target est l’un de ses clients. Selon le rapport de la commission du commerce du Sénat des États-Unis du 26 mars 2014, l’attaquant a envoyé des courriels piégés à Fazio au moins deux mois avant le vol des données de cartes. Brian Krebs précise que le logiciel malveillant soupçonné est Citadel, sans confirmation, et que le prestataire se protégeait avec la version gratuite de Malwarebytes, dont la licence interdit l’usage en entreprise.

Les identifiants volés ouvraient le portail fournisseurs de Target, Ariba selon Krebs. Fazio a précisé que sa connexion servait exclusivement à la facturation électronique, au dépôt de contrats et à la gestion de projet : le chauffagiste ne pilotait rien à distance. Un accès prévu pour envoyer des factures a servi de point d’entrée, faute d’authentification à deux facteurs et de cloisonnement entre le portail des fournisseurs et les caisses ; le chemin exact du portail jusqu’aux caisses reste inconnu. La première intrusion est datée du 12 novembre 2013 par le New York Times, repris par le Sénat, et du 15 novembre par Krebs ; les données de cartes sont collectées du 27 novembre au 15 décembre, puis envoyées en clair, par FTP, vers des serveurs extérieurs dont un en Russie.

Les outils de détection de Target avaient réagi : alertes de Symantec vers le 28 novembre, de FireEye les 30 novembre, 2 et 3 décembre. Aucune n’a été suivie d’effet. Bilan : environ 40 millions de cartes bancaires, 70 millions de fiches clients annoncées par Target le 10 janvier 2014. Le directeur général, Gregg Steinhafel, quitte l’entreprise le 5 mai 2014 (dépôt auprès de la SEC). Le 23 mai 2017, Target conclut un règlement de 18,5 millions de dollars avec 46 États et le District de Columbia, assorti d’un programme de sécurité : cloisonnement de l’environnement des cartes, rotation des mots de passe, second facteur sur certains comptes. Aucune vulnérabilité référencée n’est associée à ce cas : les sources décrivent un maillon humain et organisationnel.

RealPage : un courriel au nom de Stripe détourne dix millions de dollars de loyers (2018)

RealPage, entreprise américaine de technologie immobilière, rachète en 2017 une société qui encaisse les loyers pour le compte des bailleurs via la plateforme de paiement Stripe. En avril 2018, un employé reçoit un courriel imitant Stripe, clique et saisit ses identifiants. D’après l’arrêt de la cour d’appel du cinquième circuit du 22 décembre 2021, ces identifiants donnaient accès aux instructions de versement transmises à Stripe. Les criminels les ont modifiées, et Stripe a versé plus de dix millions de dollars sur d’autres comptes. L’incident, découvert en mai 2018, figure dans le rapport trimestriel déposé auprès de la SEC ; HousingWire l’a rapporté en janvier 2020.

Une fraude au virement, donc : quiconque tient le compte change la destination de l’argent. Le jugement du tribunal fédéral du district nord du Texas du 5 septembre 2024 détaille les montants : environ 9 millions de dollars de loyers dus aux bailleurs et 1 million de frais de transaction ; 4,5 millions récupérés rapidement ; 2 908 130,53 dollars restitués par l’État après confiscation civile ; 1 231 692,78 dollars versés par l’assureur ; une perte nette d’environ 6 millions. L’argent était passé par 88 comptes de mules dans 42 banques. RealPage a prévenu immédiatement ses banques et les services secrets américains, ce qui a permis de geler 2,9 millions, et a recrédité intégralement ses clients.

Les juridictions ont ensuite estimé que la police contre la fraude ne couvrait pas les fonds des clients, parce que RealPage ne les « détenait » pas : ils transitaient sur un compte du prestataire de paiement. Seuls les frais de transaction, environ un million, ont été couverts. L’argent des bailleurs était le plus exposé au moment précis où l’assurance de RealPage ne le couvrait pas.

CTS et Simplify : l’infogérant tombe, quatre-vingts cabinets s’arrêtent (2021 et 2023)

Au Royaume-Uni, la vente d’un logement passe par des cabinets spécialisés, les conveyancers, qui échangent fonds et actes le jour de la signature. Le mercredi 22 novembre 2023, les clients de l’infogérant CTS perdent l’accès à leurs dossiers, selon TechCrunch. Le vendredi 24, CTS évoque un « cyber-incident », mandate une société de forensique et se dit incapable de donner un calendrier, rapporte The Record. Environ 80 cabinets sont touchés. Des acheteurs ne peuvent pas signer le jour prévu, paient hôtel et garde-meubles, voient leur offre de prêt expirer ; la presse cite une acheteuse dont l’échange était prévu le 22 novembre et l’offre valable jusqu’au 30. Un cabinet, O’Neill Patient, prend en charge les frais immédiats de ses clients. À la fin de décembre, plus de 90 % des clients étaient opérationnels ou en test final selon la presse du secteur (Today’s Conveyancer, 21 décembre 2023) : environ un sur dix ne l’était pas, un mois après.

La cause n’a pas été confirmée par CTS. Un professionnel, Ian Towner, a avancé l’hypothèse d’une passerelle Citrix NetScaler exposée, héritée de Sprout IT, infogérant fusionné avec CTS en 2020, et de la vulnérabilité dite CitrixBleed, CVE-2023-4966. La vulnérabilité, elle, est établie : l’avis conjoint CISA, FBI, MS-ISAC et ACSC du 21 novembre 2023 décrit un vol de jetons de session sur les passerelles NetScaler qui permet de contourner le mot de passe et l’authentification multifacteur, exploité dès août 2023, notamment par des affiliés de LockBit 3.0 contre Boeing. L’avis recommande de corriger ce type de passerelle dans les 24 à 48 heures suivant la publication d’une vulnérabilité.

Deux ans plus tôt, le 7 novembre 2021, Simplify Group, présenté comme le premier conveyancer du pays, avait subi une attaque dont le vecteur n’a pas été publié. Ses comptes chiffrent le coût à environ 7 millions de livres, 6,8 millions selon la lecture de The Negotiator, avec une dizaine de semaines d’activité réduite.

Snexi et la vague ChimeraZ : les données du gestionnaire chez son prestataire d’états des lieux (2026)

Ce cas récent se lit avec une précaution : une partie n’est connue que par les revendications d’un pirate. À partir du 9 juin 2026, un acteur nommé ChimeraZ met en vente des bases qu’il attribue à Leboncoin Immobilier, Propriétés Privées, Capifrance puis, le 24 juin, au groupe Digit RE, avec des volumes de plusieurs millions de lignes relayés par ZATAZ dès le 9 juin, puis par des sites spécialisés. Ces volumes sont ceux du pirate. Une confirmation d’accès non autorisé par Digit RE a été rapportée par un site spécialisé, sans communiqué officiel retrouvé.

La partie établie concerne Snexi, entreprise de Tours spécialisée dans les états des lieux et les diagnostics, du groupe Arche. Attaquée le 2 septembre 2026, elle a confirmé par écrit le 7 septembre que les échantillons publiés provenaient de son incident ; La Nouvelle République a publié son avis le 8 septembre. Les données potentiellement compromises sont, selon l’entreprise, les noms, prénoms, adresses électroniques et postales et numéros de téléphone ; Snexi indique ne détenir aucune donnée financière, bancaire ou sensible. Elle a notifié la CNIL et ouvert une adresse de contact dédiée. Le 11 septembre, le pirate revendique 2 249 970 lignes, 1 139 584 personnes, 1 833 agences et 49 899 « digicodes », dont environ 90 % seraient liés au réseau Citya Immobilier. Ce lien n’est pas confirmé et rien n’indique que les systèmes de Citya aient été compromis : les données proviennent vraisemblablement de l’outil du prestataire.

Pourquoi ce cas figure-t-il ici malgré ces réserves ? Parce que le mécanisme est celui qui menace un syndic luxembourgeois. Un prestataire d’états des lieux a besoin de l’adresse, du nom du locataire, d’un rendez-vous et, souvent, du code de la porte. S’il est compromis, le syndic n’a pas été attaqué, mais ses copropriétaires peuvent recevoir des courriels ciblés au nom de leur gestionnaire, et un code associé à une adresse précise peut se retrouver chez des inconnus. Un digicode dans une base de données est une clé.

Ce que cela apprend à un immeuble ou une copropriété au Luxembourg

Ces gestes relèvent du contrat, de la procédure et de la gouvernance, pas de la technique.

• Tenir la liste des prestataires qui ont un accès. Chauffagiste, ascensoriste, installateur d’alarme, éditeur du portail, plateforme d’états des lieux, comptable externe : qui accède à quoi, par quel moyen, depuis quand. La liste se revoit à chaque changement de contrat, après un rachat ou une fusion, et l’accès se retire à la fin de la prestation. Chez Target, un compte de facturation a servi de point d’entrée.
• Cloisonner. Le portail où un fournisseur dépose ses factures n’a pas à voir la comptabilité de la copropriété, la supervision technique ni le contrôle d’accès. Le règlement de 2017 l’a imposé à Target.
• Un second facteur sur tout accès distant, et des correctifs rapides. L’avis conjoint sur CitrixBleed rappelle qu’une passerelle d’accès distant non corrigée peut laisser contourner ce second facteur ; c’est l’hypothèse avancée, sans confirmation, pour CTS. Demander au prestataire informatique qui suit les correctifs des équipements exposés à Internet et dans quel délai ; le même avis parle de 24 à 48 heures. Même question pour les équipements installés dans l’immeuble : qui les met à jour, qui en a changé les identifiants d’usine.
• Écrire la sécurité dans le contrat. L’article 28 du RGPD impose d’encadrer par contrat les sous-traitants qui traitent des données personnelles. Dans son dossier sur la vidéosurveillance en copropriété, la CNPD rappelle que le syndicat des copropriétaires est responsable du traitement et que le syndic agit comme sous-traitant ; les prestataires que le syndic fait intervenir s’encadrent de la même façon : données reçues, durée de conservation, protection, délai et canal d’alerte en cas d’incident. Un code détenu par un prestataire compromis se change.
• Une procédure de virement qui ne dépend pas d’un courriel. Chez RealPage, il a suffi de modifier des instructions de versement. Pour une copropriété : validation à quatre yeux au-dessus d’un seuil, vérification par un canal indépendant de tout changement de coordonnées bancaires, plafonds sur les comptes de collecte. Et lire son assurance avant le sinistre : RealPage a découvert après coup que les fonds de ses clients, en transit chez un tiers, n’étaient pas couverts.
• Prévoir la continuité sans le prestataire. Les clients de CTS ont perdu l’accès à leurs dossiers pendant des semaines. Où sont hébergés les dossiers de la copropriété, en existe-t-il une copie indépendante de l’hébergeur, que fait-on si l’outil s’arrête un mois, et qui supporte les frais des particuliers quand une échéance saute ?
• Lire les alertes. Target disposait d’outils qui ont détecté l’intrusion ; personne n’y a donné suite. Une alerte que personne ne lit ne protège pas.
• Prévenir vite, par un canal sûr. RealPage a alerté banques et autorités immédiatement et a pu geler près de 3 millions de dollars. Au Luxembourg, une violation de données personnelles se notifie à la CNPD dans les 72 heures de l’article 33 du RGPD, et le CIRCL, centre national de réponse aux incidents, peut être sollicité. L’article 34 du RGPD demande d’informer les personnes concernées sans retard injustifié : mieux vaut que les copropriétaires l’apprennent de leur syndic que d’un courriel frauduleux.
• Distinguer le confirmé du revendiqué. Dans la vague ChimeraZ, seule la déclaration de Snexi est établie ; les volumes et le lien avec Citya sont ceux du pirate. Relayer une rumeur aux copropriétaires ajoute un dommage à l’incident.

Le fil commun tient en une phrase : la responsabilité ne quitte pas celui qui a confié l’accès ou les données, même quand c’est le sous-traitant qui les a perdus. Un syndic peut déléguer un service, pas la responsabilité de ce qui arrive aux copropriétaires.

Sources

• Sénat des États-Unis, commission du commerce, audition et rapport « Kill Chain », 26 mars 2014 : govinfo.gov.
• Krebs on Security, 5 février 2014 : krebsonsecurity.com ; 12 février 2014 : krebsonsecurity.com.
• Target, formulaire 8-K, SEC, 5 mai 2014 : sec.gov.
• Attorney General du District of Columbia, 23 mai 2017 : oag.dc.gov.
• RealPage, formulaire 10-Q, premier trimestre 2018 : sec.gov.
• HousingWire, 27 janvier 2020 : housingwire.com.
• Cour d’appel du cinquième circuit, RealPage contre National Union, 22 décembre 2021 : caselaw.findlaw.com.
• Tribunal fédéral du district nord du Texas, 5 septembre 2024 : govinfo.gov.
• The Record, 24 novembre 2023 : therecord.media.
• TechCrunch, 27 novembre 2023 : techcrunch.com.
• CISA, FBI, MS-ISAC et ACSC, avis AA23-325A, 21 novembre 2023 : cisa.gov.
• Today’s Conveyancer, 21 décembre 2023 (sans lien).
• The Negotiator, 10 mai 2023 : thenegotiator.co.uk.
• ZATAZ, 9 juin 2026 : zataz.com.
• La Nouvelle République, Tours, 8 septembre 2026, article d’Alexandre Métivier reprenant l’avis de Snexi (sans lien).
• CNPD, dossier thématique « Vidéosurveillance en copropriété » : cnpd.public.lu.