LuxHawk.lu (+352) 27 52 67 45

← Retour aux connaissances

Le rançongiciel du syndic et la fuite de données des copropriétaires

Bâtiment et copropriété 11 min Auteur : Arnaud Colin Mis à jour : 19/09/2026

Résumé

Quand son gestionnaire est chiffré, la copropriété perd pendant des semaines sa messagerie, ses restitutions de garanties et ses dossiers, et les données de ses copropriétaires sont menacées de publication, et parfois publiées, si la rançon est refusée. DBS Group, Oralia, Encevo et Vivalia font ressortir ce qui permet de reprendre : des sauvegardes hors ligne testées, des réseaux séparés et une communication préparée. Une fuite n’a pas besoin de pirate : SERGIC a été sanctionnée de 400 000 € pour une faille d’adresse web, et un syndic luxembourgeois de 1 500 € par la CNPD pour un envoi groupé.

Un syndic ou un gestionnaire d’immeuble détient, pour chacun de ses mandants, ce qu’un attaquant recherche : pièces d’identité, coordonnées bancaires, baux, procès-verbaux, situations de compte. Quand son informatique est chiffrée par un rançongiciel, l’immeuble reste debout, mais sa gestion s’arrête : messagerie coupée, garanties de loyer non restituées, dossiers à reconstituer. Quand ces données fuient, ce sont les copropriétaires et les locataires qui en portent les conséquences. Que devient une copropriété quand son gestionnaire est chiffré ou que ses données fuient, et qui paie ? Six cas documentés, en Suisse, en France, en Belgique et au Luxembourg, permettent de répondre sans extrapoler.

DBS Group, Suisse romande, 2021 : la régie chiffrée qui refuse de payer

Le 2 décembre 2021 au matin, un collaborateur de DBS Group, filiale de Foncia qui réunit douze marques de régies immobilières en Suisse romande, dont Domicim et Brolliet, ouvre une pièce jointe infectée et la signale aussitôt. Le signalement n’arrête rien : les serveurs sont chiffrés et des données exfiltrées, selon la RTS et ICTjournal. Le groupe compte une quarantaine d’agences et plus de 700 collaborateurs, pour une équipe informatique d’une quinzaine de personnes.

La messagerie est coupée, les régies tournent au ralenti, des employés se retrouvent sans travail et au moins une garantie de loyer d’un locataire sortant n’a pas pu être restituée. La direction refuse de payer, sur recommandation de la police, qui rappelle que payer ne garantit en rien la coopération des malfaiteurs ; une plainte est préparée dans le canton de Vaud. Le lundi 13 décembre au soir, les attaquants publient environ 750 Mo, présentés comme un échantillon de 5 % : baux, contrats, devis, bulletins de versement avec coordonnées bancaires, garanties de loyer, courriels internes, plans et tableurs, avec noms, adresses, signatures, montants de loyer et parfois plaques d’immatriculation, dans tous les cantons romands (RTS Genève). La paralysie était annoncée jusqu’à la mi-janvier 2022 ; entre-temps, les clients ont été renvoyés vers le téléphone.

Oralia et Happy-Immo, France, 2022-2023 : le grand groupe et la petite agence

Le mercredi 20 avril 2022, Oralia, administrateur de biens filiale de Nexity, détecte une attaque sur son réseau et prévient ses clients le jour même, par un courriel de sa directrice générale, avec une consigne simple : « ne transmettre aucune donnée par mail » (LeMagIT). La messagerie est rétablie le 22 avril. Entre le 24 et le 27 avril, le groupe Black Basta, apparu ce même mois selon l’avis AA24-131A de la CISA, revendique l’attaque et met en ligne une soixantaine de gigaoctets, 63 Go selon ZATAZ : copies de cartes d’identité, cartes Vitale, documents internes et cartographie du système d’information. Le point d’entrée n’a pas été rendu public.

La communication est partie immédiatement, par un canal qui n’était pas la messagerie compromise, avec l’interdiction d’envoyer des données par courriel pendant la crise. Et les serveurs d’Oralia étaient isolés de ceux de Nexity : aucune propagation vers la maison mère n’a été redoutée. L’espace client est resté inaccessible plusieurs jours, et les personnes dont les pièces ont été publiées restent exposées à des hameçonnages ciblés.

Une agence bien plus petite a vécu l’équivalent près d’un an plus tard. Le 10 mars 2023 à 5 h 36, un rançongiciel entre chez Happy-Immo par un poste relié au serveur ; 450 dossiers clients sont supprimés. La rançon de 100 000 €, ensuite abaissée à 10 000 €, n’est pas payée. L’agence passe une semaine sans activité, mobilise ses 85 collaborateurs, dépose plainte et signale l’incident à la CNIL et à l’ANSSI ; à la date du reportage de France 3 Hauts-de-France, le 16 mars 2023, une centaine de dossiers avaient été reconstitués à la main.

Encevo, Creos et Enovos, Luxembourg, 2022 : les portails touchés, la fourniture épargnée

Dans la nuit du 22 au 23 juillet 2022, les entités luxembourgeoises du groupe Encevo, opérateur d’électricité et de gaz, dont Creos et Enovos, subissent une cyberattaque. Le communiqué du 25 juillet, repris sur la page dédiée d’Encevo, annonce des portails clients perturbés, une cellule de crise et une précision essentielle : la fourniture d’électricité et de gaz n’est pas touchée, et le dépannage reste assuré. Le 28 juillet, le groupe confirme qu’une certaine quantité de données a été exfiltrée (BleepingComputer). Le samedi 30 juillet, le groupe ALPHV/BlackCat ajoute Creos à son site d’extorsion et menace de publier 180 000 fichiers, soit 150 Go : contrats, accords, passeports, factures, courriels (Le Quotidien, Paperjam). Ces volumes sont ceux de la revendication ; ni le montant de la rançon ni le vecteur d’entrée n’ont été divulgués.

Creos comptait alors quelque 300 000 clients en électricité et 49 000 en gaz, selon Le Quotidien. La réponse a suivi un ordre net : plainte auprès de la police grand-ducale, notification à la CNPD, à l’ILR et aux ministères compétents, analyse des données exfiltrées pour informer les personnes concernées, et conseil aux clients de changer leurs identifiants, y compris ailleurs s’ils réutilisaient le même mot de passe. Le communiqué distingue lui-même le système d’information et les portails, touchés, de l’exploitation physique, épargnée : rien n’indique que des compteurs aient été atteints.

Vivalia, province de Luxembourg, 2022 : un bâtiment entier repasse au papier

Ce cas n’est pas celui d’un syndic, mais il montre ce qu’un rançongiciel fait à un bâtiment entier sans toucher à ses installations techniques. Dans la nuit du vendredi 13 au samedi 14 mai 2022, peu avant 3 h 30, un rançongiciel est détecté sur le réseau de Vivalia, groupe d’établissements de soins de la province de Luxembourg, en Belgique, à quelques kilomètres de la frontière grand-ducale : six sites hospitaliers, une polyclinique, quatre maisons de repos et de soins, une maison de soins psychiatriques et trois crèches, pour 47 communes affiliées, selon le communiqué repris par la presse belge le 14 mai. Environ 200 serveurs et 1 500 ordinateurs sont touchés ; consultations, opérations non urgentes et examens d’imagerie sont annulés, et les dossiers des patients sont suivis à la main. Le 18 mai, le groupe LockBit revendique l’attaque et fixe un ultimatum au 26 mai ; ce jour-là, la menace de publication est retirée sans qu’aucune publication soit connue, et sans qu’un paiement ait jamais été confirmé. La reprise sur quatre sites n’intervient que le 28 juin, environ six semaines plus tard (CERT Santé).

Le dossier a été repris par le parquet fédéral belge. Des équipes du CERT.be sont venues sur place ; la consigne de ne pas payer a été rappelée et des postes sans connexion externe ont été redéployés dans les services prioritaires. Un déficit d’environ 9,7 millions d’euros a été rapporté fin juin 2022, chiffre qui n’a pas pu être recoupé avec les comptes. Pour une résidence, le point à retenir est le temps : six semaines de mode dégradé.

SERGIC et un syndic luxembourgeois : la fuite sans pirate

Les deux derniers cas n’ont pas d’attaquant : une fuite n’a pas besoin d’un rançongiciel, et, dans le cas de SERGIC, la CNIL n’a pas eu à démontrer qu’un tiers avait consulté les données pour sanctionner ; l’accessibilité et la lenteur de la correction ont suffi.

En mars 2018, une faille est signalée à SERGIC, administrateur de biens français, également syndic de copropriété : les pièces déposées par les candidats locataires sur son site sont accessibles en modifiant un numéro dans l’adresse du document, sans aucune authentification. Une plainte parvient à la CNIL le 12 août 2018 ; lors des contrôles des 7 et 13 septembre, la délégation télécharge 9 446 documents et constate que 290 870 fichiers sont accessibles : cartes d’identité, cartes Vitale, avis d’imposition, actes de décès et de mariage, jugements de divorce, relevés de compte. Le correctif ne devient effectif que le 17 septembre 2018, six mois après le signalement. Par sa délibération SAN-2019-005 du 28 mai 2019, la CNIL prononce une amende de 400 000 € et sa publication : manquement à l’article 32 du RGPD, l’authentification étant qualifiée de mesure élémentaire, et à l’article 5-1-e, les dossiers des candidats non retenus étant conservés sans limite alors qu’ils ne peuvent l’être plus de trois mois en base active après l’attribution du logement. Le Conseil d’État a rejeté le recours le 4 novembre 2020 : la CNIL peut constater une faille en ligne sans prévenir et sanctionner sans mise en demeure préalable. Le RGPD s’applique de la même façon au Luxembourg.

Au Luxembourg précisément, la délibération n° 18FR/2022 de la CNPD, du 13 décembre 2022, vise un syndic. Le 11 février 2019, celui-ci adresse à six destinataires un rappel de créances avec, en pièces jointes, deux courriers reprenant les situations comptables individuelles de 2018 et 2019 et l’adresse privée de deux copropriétaires : noms, mouvements mensuels et soldes débiteurs, lus par leurs voisins. Les deux copropriétaires demandent dès le 13 février l’accès à leurs données ; ils ne reçoivent, le 16 avril, qu’une note d’information lacunaire. Le syndic invoquait le règlement grand-ducal du 13 juin 1975 ; la CNPD retient des manquements aux articles 5.1.a) et 6.1 du RGPD (licéité de la diffusion) et 12.3, 12.4 et 15.1.b) et c) (droit d’accès), jugés non délibérés. L’amende est de 1 500 €, sans mesure correctrice puisque le syndic n’a plus de mandat ; il avait cessé de répondre à l’autorité après le 29 juillet 2020. La procédure a duré près de quatre ans, et la décision, anonymisée, est publique.

Le montant est faible ; ce qui pèse, pour un syndic, c’est que tous les copropriétaires ont reçu le courriel. La situation de compte d’un copropriétaire est une donnée personnelle : le rappel de créances va au seul débiteur, et une demande d’accès reçoit sa réponse dans le mois.

Ce que cela apprend à un immeuble ou une copropriété au Luxembourg

Les gestes que ces six cas suggèrent relèvent de la gouvernance de la copropriété plus que de l’informatique.

  • Le choix du gestionnaire est une décision de gouvernance. L’immeuble hérite des failles de son prestataire, comme les clients de Creos de celles de leur opérateur. Avant de signer ou de renouveler un mandat, demandez au syndic où sont hébergées les données de la copropriété, qui les sauvegarde et, s’il appartient à un groupe, si ses serveurs sont isolés de ceux du groupe, comme ceux d’Oralia l’étaient de Nexity.
  • La sauvegarde hors ligne, testée, est ce qui permet de reprendre. Chez DBS Group, le signalement immédiat n’a pas empêché le chiffrement ; chez Happy-Immo, les 450 dossiers supprimés ont dû être reconstitués à la main, et une centaine seulement l’étaient six jours plus tard. La question utile n’est pas « avez-vous des sauvegardes ? » mais « quand avez-vous restauré pour la dernière fois ? ».
  • Séparer la bureautique de l’exploitation. Le communiqué d’Encevo distingue les portails, touchés, de la fourniture d’énergie, épargnée. Le même principe vaut entre le poste du syndic et la gestion technique de l’immeuble : chauffage, portes, caméras.
  • Ne conserver que le nécessaire. Passeports chez Encevo, cartes d’identité chez Oralia, dossiers de candidats non retenus chez SERGIC : ce qui n’est pas conservé ne peut pas fuir, et la conservation illimitée est en elle-même un manquement sanctionné.
  • L’envoi groupé engage toute la résidence. Le rappel de créances va au seul débiteur ; ce qui vaut pour la comptabilité vaut pour les convocations et les procès-verbaux, et la fin du mandat n’efface pas la responsabilité.
  • Un signalement de faille déclenche une correction datée. Chez SERGIC, six mois entre le signalement et le correctif ont pesé dans la sanction. Demandez à l’éditeur de l’extranet des copropriétaires si un document peut être atteint en changeant un numéro dans l’adresse.
  • Préparer la communication et la position sur la rançon. Oralia a prévenu ses clients le jour même, hors de la messagerie compromise. Un syndic doit savoir par quel canal il joindra ses copropriétaires si sa messagerie tombe, et décider à l’avance s’il paiera ; la police, dans le cas suisse, a recommandé de ne pas le faire, et la même consigne a été rappelée dans le cas belge.
  • Notifier vite, puis prévenir les copropriétaires avant les escrocs. Le RGPD laisse 72 heures pour notifier l’autorité (article 33) et impose d’informer les personnes concernées sans retard injustifié (article 34). Les données publiées après DBS Group et Oralia sont ce qu’il faut pour une fraude au virement : après une fuite, les mandants doivent savoir que tout changement de coordonnées bancaires se vérifie par un autre canal, et changer leurs identifiants, comme Encevo l’a conseillé à ses clients.

Sources