Fuite Digit RE Group : 3,4 M de profils immobiliers exposés

En résumé. Une base attribuée au groupe immobilier Digit RE Group a été mise en ligne le 24 juin 2026 sur un forum cybercriminel, touchant près de 3,4 millions de personnes. Aucune donnée bancaire n'est pour l'instant évoquée, mais ce type de fuite expose surtout des contacts et des coordonnées, la matière première du phishing ciblé contre vos équipes et vos clients.

Ce qui s'est passé

Le 24 juin 2026, un acteur malveillant utilisant le pseudonyme « ChimeraZ » a revendiqué la publication d'une base rattachée à Digit RE Group, éditeur de solutions numériques pour les réseaux immobiliers. D'après le média spécialisé Cyberattaque.org, qui a relayé la revendication, le corpus concernerait environ 3,4 millions de personnes, pour un volume annoncé de 6,3 Go. Les plus gros lots viseraient les contacts de réseaux comme Capifrance, Optimhome et Drimki. L'attaquant a aussi annoncé une seconde diffusion, présentée comme des documents de clients et de collaborateurs.

À ce stade, il s'agit d'une revendication. Digit RE Group n'a pas confirmé publiquement l'ampleur exacte, et rien n'indique que des coordonnées bancaires figurent dans les fichiers diffusés. Cette fuite s'inscrit dans une série qui touche le secteur immobilier français depuis plusieurs semaines, avec d'autres réseaux visés ces derniers jours.

Suis-je concerné ?

Vous n'êtes pas dans l'immobilier ? Le mécanisme reste instructif, parce qu'il se rejoue à l'identique dans tous les secteurs. Quand un prestataire ou une plateforme que vous utilisez se fait pirater, vos données partent avec, sans la moindre faille chez vous.

Trois profils sont exposés ici. Les agences et mandataires qui travaillent avec ces réseaux, dont les contacts professionnels peuvent circuler. Les particuliers passés par ces plateformes comme acheteurs ou vendeurs, dont les coordonnées servent à monter des arnaques crédibles. Et toute entreprise dont un salarié a réutilisé, sur un de ces sites, un mot de passe déjà employé au bureau. C'est ce dernier point qui transforme une fuite externe en risque interne.

Pour savoir si une adresse figure dans une fuite connue, des services de référence comme Have I Been Pwned permettent une vérification gratuite. Un résultat positif ne veut pas dire que votre entreprise est compromise, mais qu'il faut changer les mots de passe concernés sans attendre.

Que faire maintenant

Trois réflexes, du plus urgent au plus structurant.

1. Coupez la réutilisation de mots de passe. C'est l'action qui rapporte le plus, tout de suite. Activez l'authentification multifacteur (MFA) sur la messagerie et les accès Microsoft 365, et demandez à chacun de ne plus jamais réemployer un mot de passe professionnel sur un site externe. Un gestionnaire de mots de passe rend la consigne tenable.

2. Prévenez vos équipes d'une vague d'hameçonnage. Après une fuite très médiatisée, les escrocs envoient des messages qui reprennent le contexte pour paraître légitimes. Rappelez la règle simple : aucun virement ni changement de RIB sans une vérification par un second canal, idéalement un appel sur un numéro connu.

3. Regardez du côté de vos prestataires. Listez les plateformes et fournisseurs qui détiennent vos données ou celles de vos clients, et vérifiez qui aurait été touché. Cet inventaire est aussi la base d'une démarche de conformité, par exemple dans le cadre de NIS2 pour les entreprises concernées.

‍

‍

En bref

Une grosse fuite touche l'immobilier français, mais le risque concret pour une PME tient en une phrase : un mot de passe réutilisé et une vague de phishing qui suit. Activez le MFA, bannissez la réutilisation de mots de passe et prévenez vos équipes, et l'essentiel est couvert. Ces réflexes se mettent en place vite, sans bouleverser votre organisation.

Questions fréquentes

Mes données bancaires sont-elles exposées ? Rien ne l'indique à ce jour. La fuite porte surtout sur des contacts et coordonnées, ce qui sert avant tout à du phishing ciblé.

Que faire en priorité si un de mes salariés est concerné ? Changer immédiatement le mot de passe réutilisé, vérifier qu'il ne sert nulle part ailleurs, et activer le MFA sur les comptes professionnels.

— Samir Amara, CEO — IT Systèmes