Fuite Nemea : 1 000 pièces d’identité scannées en vente sur un forum cybercriminel

L’alerte est tombée le 28 avril 2026 ^[1]. Une fuite massive concerne le groupe Nemea ^[2], gestionnaire girondin de résidences services ^[3] créé en 1994 ^[4]. L’acteur malveillant revendique 330 000 enregistrements ^[5][6] - baux, quittances, relances cumulées ^[6]. Mais l’analyse précise réduit le périmètre à 12 590 personnes physiques et morales uniques ^[7]. L’écart est révélateur: un même locataire peut figurer dans des dizaines de lignes (loyer mensuel, relances, avenants), ce qui gonfle le chiffre brandi par le pirate sans changer la gravité réelle de l’incident.

LES ENJEUX

Mots de passe en clair: la faute technique

Stockage sans hachage ni sel, contraire à l'état de l'art (bcrypt, Argon2) et à la recommandation CNIL de 2022. Risque de credential stuffing immédiat sur tous les services tiers.

Peines encourues: RGPD et Code pénal

Art. 323-1 et 323-3 CP pour le pirate (jusqu'à 5 ans, 150 000 €), art. 226-17 CP pour Nemea (5 ans, 300 000 €), amende RGPD jusqu'à 2 % du CA mondial.

Risque IBAN et SIM swapping

Avec mandats SEPA, pièces d'identité scannées et mots de passe, les pirates disposent du kit complet pour la fraude bancaire ciblée.

Fenêtre de vulnérabilité post-cession

Migration vers Goélia six mois avant la fuite: comptes de service non révoqués, exports temporaires non détruits - schéma classique d'incident M&A relevant de l'art. 32 RGPD.

Une fuite parmi 24 par jour en France

8 613 violations notifiées à la CNIL entre sept. 2024 et sept. 2025, +45 % en un an. Nemea n'est qu'un cas dans une banalisation systémique.

L’origine est identifiée: la compromission a entraîné la fuite de l’export d’un outil de gestion locative ^[8]. Autrement dit, un fichier extrait du back-office, complet, structuré, exploitable. Les victimes sont les locataires ^[9], les propriétaires bailleurs ^[10] et les garants en caution solidaire ^[11] - soit toute la chaîne contractuelle d’une résidence.

Le détail des données exposées

Le contenu du fichier, dressé par l’analyste à l’origine de la publication LinkedIn alertant sur l’incident ^[7], est accablant. Identité civile complète: nom, prénom, date et lieu de naissance, adresse postale ^[12]. Coordonnées: e-mails et numéros de téléphone ^[13]. Données locatives: adresse du bien, montant du loyer, quittances ^[14]. Données financières: références de mandats SEPA et informations de masquage IBAN ^[15]. Documents scannés: pièces d’identité, passeports, justificatifs de revenus et de domicile ^[16] - le vol porte sur 1 000 documents d’identité numérisés ^[17][18].

Mots de passe en clair: pourquoi c’est une faute technique majeure

Le détail qui change tout: exposition de mots de passe non chiffrés ^[19], en texte clair ^[20]. Concrètement, dans une base correctement conçue, les mots de passe ne sont jamais stockés tels que l’utilisateur les saisit. Ils sont transformés par une fonction de hachage cryptographique - bcrypt, Argon2, scrypt - associée à un sel aléatoire propre à chaque utilisateur. Le résultat est une empreinte irréversible: même le responsable du traitement ne peut pas retrouver le mot de passe original. C’est l’état de l’art depuis plus d’une décennie.

La CNIL a publié une recommandation actualisée sur les mots de passe qui rappelle explicitement cette obligation: stockage sous forme hachée et salée, longueur minimale, mécanismes anti-bruteforce. Le stockage en clair est unanimement considéré, selon plusieurs sources, comme une vulnérabilité critique liée aux défaillances cryptographiques. En conservant les mots de passe en clair, Nemea n’expose pas seulement ses locataires à une intrusion sur leur espace bailleur: elle leur fait courir un risque de credential stuffing immédiat, ces attaques automatisées qui rejouent les couples e-mail/mot de passe sur des centaines de services (banque, messagerie, plateformes de paiement) où la victime aurait réutilisé le même secret. Un seul fichier, des centaines de portes ouvertes.

Le cadre légal: 72 heures pour notifier les autorités

L’article 4.12 du RGPD ^[21] définit la violation de données comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel » ^[22]. Les articles 33 et 34 du RGPD ^[23] imposent au responsable du traitement deux obligations: notification à la CNIL ^[24] dans un délai maximal de 72 heures ^[25][26], et information directe des personnes concernées dans les meilleurs délais ^[27] lorsque la violation engendre un risque élevé.

Côté pénal, le Code pénal arme les magistrats. L’article 323-1 réprime l’accès ou le maintien frauduleux dans tout ou partie d’un système de traitement automatisé de données (STAD). L’article 323-3 sanctionne quant à lui l’extraction, la détention, la reproduction ou la transmission frauduleuse de données contenues dans un STAD - exactement le mode opératoire de la fuite Nemea.

Le responsable du traitement n’est pas en reste. L’article 226-17 du Code pénal sanctionne le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures techniques et organisationnelles nécessaires pour garantir leur sécurité - ce que le défaut de chiffrement des mots de passe constitue, en première analyse, parfaitement. À cela s’ajoute le volet administratif: l’article 83 du RGPD prévoit, pour les manquements à l’obligation de sécurité, des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu), seuil porté à 20 millions d’euros ou 4 % pour les violations les plus graves, selon plusieurs sources. Avec 92 millions d’euros de chiffre d’affaires en 2024 ^[28], Nemea s’exposerait théoriquement à une sanction significative.

Le cas Nemea coche toutes les cases du risque élevé: données d’identité numérisées, mots de passe en clair, données financières SEPA. L’information individuelle des 12 590 victimes ^[7] n’est pas une option - c’est une obligation légale. La politique de confidentialité du groupe désigne d’ailleurs un délégué à la protection des données joignable à dpo@nemea.fr ^[29], adresse à laquelle les locataires peuvent exiger des comptes.

Ce que les IBAN et passeports volés permettent

La CNIL ^[30] détaille les usages criminels de ces fichiers. Un IBAN obtenu frauduleusement permet d’émettre des ordres de prélèvement illégitimes ^[31], ou d’usurper l’identité du titulaire pour souscrire à un service avec mandat SEPA ^[32]. Avec les 1 000 pièces d’identité scannées ^[17], les pirates disposent du nécessaire pour le SIM swapping: usurper l’identité auprès de l’opérateur mobile, obtenir une nouvelle carte SIM ^[33], puis intercepter les SMS et OTP de validation bancaire ^[34][35].

Le mode opératoire ne relève pas de l’hypothèse. Le 22 avril 2026 ^[36], le parquet de Paris ^[37] a fait interpeller en Vendée un jeune hacker connu sous le pseudonyme HexDex ^[38][39], qui revendiquait ses prises sur BreachForum et Darkforum ^[40][41][42]. Son compte a été saisi ^[43]. Le marché de la donnée volée a ses plateformes, ses vendeurs identifiés, ses circuits.

Une fuite Nemea dans une vague systémique

Les chiffres macro sont écrasants. Entre septembre 2024 et septembre 2025, 8 613 violations de données ont été notifiées à la CNIL ^[44], soit une hausse de 45 % en un an ^[45], l’équivalent de 24 fuites par jour ^[46]. Le nombre d’individus potentiellement exposés est passé de 8 à 12 millions ^[47][48]. Les incidents intentionnels progressent de plus de 60 % ^[49], portés par le phishing et le vol d’identifiants ^[50]. De son côté, l’ANSSI fait état pour 2025 de 2 209 signalements et 1 366 incidents ^[51][52], pour un total de 3 586 événements de sécurité traités sur l’année selon un périmètre élargi ^[53].

Le diagnostic de l’agence est sans appel: les attaques exploitent avant tout des failles organisationnelles récurrentes ^[54]. Mots de passe en clair chez Nemea ^[19], API mal protégées à l’Urssaf ^[55] (jusqu’à 12 millions de salariés potentiellement concernés ^[56]), identifiants de fonctionnaire usurpés sur le fichier FICOBA (1,2 million de comptes ^[57]) - même grammaire de l’incident, mêmes négligences.

Le secteur de la gestion locative privée n’échappe pas à la règle. Les administrateurs de biens, les bailleurs sociaux et les gestionnaires de résidences manipulent une combinaison particulièrement attractive pour les cybercriminels: pièces d’identité scannées au moment de la signature du bail, mandats SEPA actifs, justificatifs de revenus. Cette densité documentaire fait des back-offices locatifs une cible récurrente, structurellement sous-équipée en sécurité par rapport aux acteurs bancaires ou télécoms.

L’angle mort: une cession finalisée quelques mois avant la fuite

Le 5 novembre ^[58], Nemea avait cédé son activité historique de tourisme à Goélia ^[59][60]: 31 résidences ^[61], 250 personnes transférées ^[62] selon le PDG Pascal Recorbet ^[63]. Le groupe se recentrait sur 59 résidences ^[64] - 18 hôtelières ^[65] et 41 étudiantes ^[66] - avec un objectif de 80 millions d’euros de chiffre d’affaires d’ici cinq ans ^[67]. La cession a multiplié les transferts de bases de données et les exports d’outils locatifs entre deux systèmes d’information. La fuite porte précisément sur l’export d’un outil de gestion locative ^[8]. Le calendrier interroge.

Le mécanisme technique de cette fenêtre de vulnérabilité est connu des responsables sécurité. Lors d’une migration de système d’information entre deux groupes, les équipes IT créent des comptes de service dédiés - identifiants techniques disposant de droits d’extraction massive sur les bases de production - pour générer les exports nécessaires au transfert. Ces comptes, souvent dotés de privilèges élevés, devraient être révoqués dès la migration achevée. Dans les faits, ils survivent fréquemment plusieurs mois aux opérations capitalistiques, oubliés dans les annuaires d’authentification. Les fichiers d’export eux-mêmes - dump SQL, archives CSV, sauvegardes intermédiaires - persistent sur des serveurs de transit, des partages réseau ou des espaces cloud temporaires, rarement chiffrés au repos.

L’article 32 du RGPD impose pourtant aux deux parties d’une cession - le cédant comme le cessionnaire, en tant que responsables conjoints du traitement pendant la phase de transfert - de garantir « un niveau de sécurité adapté au risque »: chiffrement, pseudonymisation, capacité à restaurer la disponibilité, procédure de test régulier. Aucune des sources consultées ne mentionne de communiqué de Goélia, acquéreur de l’activité tourisme, sur sa propre responsabilité éventuelle dans la chaîne de traitement des données transférées. Le silence est partagé.

Ce qui manque au dossier

Aucune des sources consultées ne mentionne de communiqué officiel de Nemea sur l’incident, ni de notification publique aux 12 590 personnes concernées ^[7], ni de plainte déposée auprès du parquet de Paris. La CNIL impose pourtant l’information directe des victimes ^[68]. Les locataires apprennent leur exposition par un post LinkedIn d’analyste ^[7], pas par leur bailleur. Cette absence est l’enjeu principal du dossier.

Pour les victimes, les gestes sont connus: surveiller les relevés bancaires, demander une opposition sur les prélèvements suspects, ne jamais cliquer sur les liens reçus par SMS ou e-mail ^[69], saisir directement l’adresse du site officiel pour se connecter à ses comptes ^[70]. Les fraudeurs qui exploiteront ces données dans les mois à venir disposeront d’un dossier complet par victime - identité, adresse, IBAN, mot de passe. Le calcul est simple: avec 1 000 documents d’identité scannés ^[17] et des mots de passe en clair ^[20], chaque locataire de la base a entre les mains une bombe à retardement.