CapiFrance : près de 786 000 personnes revendiquées dans une fuite du CRM immobilier

Le 10 juin 2026, le cybercriminel opérant sous le pseudonyme « ChimeraZ » a revendiqué sur un forum spécialisé la diffusion d’une base de données attribuée à CapiFrance, réseau français de conseillers immobiliers indépendants appartenant au groupe Digit RE Group. La publication porte sur environ 3,6 millions d’enregistrements concernant, selon l’attaquant, 785 558 personnes distinctes, pour un volume d’environ 3 Go structuré comme un export de CRM : dossiers d’affaires (environ 1,6 million de lignes), contacts (environ 926 000), transactions (environ 554 000), signatures électroniques (environ 458 000) et interlocuteurs. Les données évoquées combinent identité, coordonnées et informations commerciales et immobilières (visites, transactions, mandats, signatures), une matière première crédible pour des fraudes ciblées de type faux appels de fonds. La revendication a été relayée dès les 10 et 11 juin par Cyberattaque.org et FrenchBreaches, puis par la presse généraliste (Clubic, Mediaterranee), sans déclaration de CapiFrance à cette date.

La suite de la chronologie appelle la prudence. Le 24 juin, le même acteur a revendiqué une fuite élargie à l’ensemble du groupe Digit RE Group, avec un chiffre différent pour la seule marque CapiFrance (1,95 million de contacts, contre 785 558 personnes dans l’annonce initiale), sans que l’articulation entre les deux annonces soit expliquée ; l’article source de cette seconde revendication rattache en outre au groupe des marques qui ne lui appartiennent pas (Meilleurtaux, MoneyVox, Empruntis, Hosman), ce qui affaiblit la fiabilité de ce chiffre alternatif. Le 29 juin, FrenchBreaches et Bonjour la fuite ont rapporté une reconnaissance par CapiFrance d’une fuite limitée à l’identité et aux coordonnées, excluant mots de passe et données bancaires ; cette confirmation n’a toutefois pas pu être retracée jusqu’à un communiqué officiel, à un article citant directement l’entreprise ou à une notification CNIL.

En l’absence de source primaire traçable pour cette reconnaissance, et conformément au traitement appliqué à la fiche IAD Group (même vague, même exigence), le statut retenu est « alléguée » : tous les chiffres émanent de l’attaquant, et le vecteur d’attaque reste inconnu. L’incident s’inscrit dans la campagne visant l’immobilier français menée en juin 2026 par « ChimeraZ » et son associé « misere », avec plus de 25 publications revendiquées entre le 8 et le 30 juin (SeLoger, Propriétés Privées, IAD Group, Espaces Atypiques via Immofacile, notamment). La fiche sera mise à jour si CapiFrance, le groupe Digit RE Group ou les autorités communiquent officiellement.

Le groupe Digit RE Group a ensuite écrit lui-même aux personnes concernées : Fuites Infos situe une première notification par courriel le 13 septembre 2026, et Bonjour la fuite a publié les captures de deux envois au texte identique, datés du 13 septembre et du 4 octobre 2026 (expéditeur du domaine du groupe, signature du délégué à la protection des données, horodatage du 4 octobre à 4 h 02 pour la seconde vague). Le courriel reconnaît qu’un accès non autorisé à certaines données personnelles a été récemment détecté « au sein de Digit Re Group », indique que le nom, le prénom, l’adresse électronique et le numéro de téléphone ont pu être consultés ou copiés, exclut les coordonnées bancaires et les mots de passe, et annonce une déclaration à la CNIL ainsi qu’une plainte en gendarmerie. Il ne précise en revanche ni la marque ou la plateforme touchée, ni la date de l’incident, ne cite ni l’adresse postale, ni les documents, ni les signatures électroniques revendiqués (alors que la notification attribuée à CapiFrance le 29 juin mentionnait l’adresse postale), ne fait aucune référence à la revendication de ChimeraZ et ne chiffre aucun volume : les 785 558 personnes et les 3,6 millions d’enregistrements restent donc des chiffres de l’attaquant.

Fuites Infos situe cette notification dans le prolongement de la revendication visant le groupe depuis le 24 juin, mais il s’agit d’un rapprochement du média et non d’une affirmation du courriel, dont le texte générique ne permet ni de désigner CapiFrance plutôt qu’une autre marque du groupe, ni d’écarter qu’il couvre aussi la seconde revendication du 24 septembre, relative aux journaux d’appels de la téléphonie du siège, que le groupe n’a pas confirmée publiquement. Le statut « alléguée » est donc maintenu pour CapiFrance : le courriel du groupe ne nomme pas la marque, et celui attribué à CapiFrance le 29 juin n’est connu que par une capture sans en-tête, ce qui ne suffit pas à lever la réserve formulée plus haut.