Propertips (ex-NosRezo) : 413 722 personnes revendiquées

Une personne recommandée sur Propertips n’a pas forcément créé de compte. Un proche a pu transmettre son nom, son numéro et son projet de vente à la plateforme, contre une commission si la transaction se conclut. C’est ce détail qui donne son poids à la revendication publiée le 16 septembre 2026.

Le compte ChimeraZ met en vente une base attribuée à NosRezo, exploitée sous la marque Propertips. Il annonce 413 722 personnes : 263 901 clients et 149 821 conseillers. Ni NosRezo ni iad n’ont confirmé à cette heure.

Qui est la victime désignée

NosRezo est une société immatriculée au RCS de Melun, installée à Lieusaint (Seine-et-Marne). Ses mentions légales la présentent comme filiale de la SAS I@D International, maison mère du réseau immobilier iad.

Fondée en 2014, la plateforme fait de l’apport d’affaires. Un particulier inscrit, le « Tipser », signale une connaissance qui veut vendre ou acheter ; la recommandation part vers un conseiller iad. Si la vente aboutit, le Tipser touche une part de la commission. Les conditions générales précisent qu’il transmet alors des données « qu’il aura directement collectées auprès d’un tiers ».

Ce qui est revendiqué

D’après Cyberattaque.org et Fuites Infos, la base pèse environ 160 Mo au format JSON. Catégories décrites : noms, adresses électroniques, téléphones, adresses postales, type et description des projets immobiliers, conseiller rattaché à chaque dossier, montants d’honoraires. Fuites Infos mentionne aussi des éléments de situation familiale.

Aucun des deux médias ne signale de coordonnées bancaires. Le point compte : la politique de confidentialité de Propertips indique collecter le RIB et le numéro de sécurité sociale des Tipsers pour leur verser leurs commissions. Rien ne dit que ces champs ont été touchés, rien ne permet de l’exclure tant que l’entreprise ne s’est pas exprimée.

L’origine technique n’est pas donnée. FrenchBreaches affiche « Revendiquée (crédible) » tout en écrivant que les chiffres, l’intégralité de la base et son origine « n’ont pas été confirmés indépendamment ». Nous retenons le statut qui correspond aux faits publics : revendiqué, sans confirmation de la victime.

Un pseudonyme qui connaît déjà le groupe

ChimeraZ enchaîne les publications françaises : six bases le 3 septembre, celle attribuée à Aqualter le 10.

Le 2 juillet 2026, selon Cyberattaque.org, ChimeraZ et un second pseudonyme revendiquaient une base et 966 Go de documents attribués à IAD Group. Fuites Infos rapporte qu’iad a reconnu le 9 juillet « un accès non autorisé par un tiers à certaines parties de son système d’information », sans volume ni exfiltration confirmée. Nous n’avons pas retrouvé ce communiqué à la source.

La base Propertips vient-elle d’une nouvelle intrusion, ou d’un extrait de ce qui aurait été pris en juillet ? Personne ne peut le dire. Aucun élément public n’établit de lien technique entre les deux épisodes.

Pourquoi ce fichier vaut plus qu’un annuaire

Un annuaire dit qui existe. Ce fichier dirait qui veut vendre, quel bien, avec quel conseiller et pour quels honoraires.

C’est la matière d’une fraude au virement. Cybermalveillance.gouv.fr décrit l’escroc qui usurpe « l’identité d’un créancier avec lequel [la victime] est en relation (artisan, notaire, avocat, propriétaire/bailleur…) » pour obtenir un paiement sur un compte qu’il contrôle. Dans une vente immobilière, le message qui cite le vrai conseiller et le bon bien n’a pas besoin d’être parfait.

Deux variantes découlent du contenu décrit : le faux conseiller qui appelle un vendeur en se présentant comme remplaçant, et le faux message aux Tipsers les invitant à « mettre à jour leurs informations de paiement » pour toucher une commission.

Rien n’indique qu’une intelligence artificielle a servi à obtenir ces données. Son rôle vient après : rédiger des milliers de messages distincts, chacun citant le bon conseiller et la bonne ville, relevait de l’artisanat. Un modèle de langage l’automatise. L’ANSSI note dans son Panorama de la cybermenace 2025 que ces outils permettent aux attaquants d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques.

Si vous êtes conseiller immobilier indépendant

Le réseau l’indique sur son site : ses conseillers sont des agents commerciaux indépendants immatriculés au RSAC.

Pour un indépendant, une fiche de mise en relation ne distingue pas le numéro professionnel du numéro personnel, ni l’adresse d’activité du domicile quand les deux se confondent. Vos clients vous connaissent par votre nom plus que par la marque : le fraudeur qui l’usurpe exploite votre crédit, pas celui du groupe.

La politique de confidentialité de Propertips désigne NosRezo comme responsable de traitement. Si la violation est avérée, l’article 33 du RGPD lui impose de la notifier à la CNIL dans les meilleurs délais et, si possible, sous 72 heures, sauf absence de risque pour les personnes ; l’article 34, d’informer celles-ci lorsque le risque est élevé. Notifier n’est pas votre rôle. Prévenir l’est.

Cette semaine :

• Écrivez au contact données personnelles de Propertips (privacy@propertips.com, indiqué dans ses mentions légales) pour savoir si vos données et vos dossiers figurent dans le périmètre.
• Appelez vos clients en cours de transaction. Toute demande de virement ou de changement de RIB se vérifie en appelant le notaire ou le créancier sur un numéro déjà connu, jamais celui du message.
• Méfiez-vous des appels « du siège » qui réclament vos identifiants au motif de l’incident.

Si un virement est parti, Cybermalveillance.gouv.fr donne l’ordre des gestes : alerter la banque immédiatement, prévenir le créancier usurpé, conserver les preuves, porter plainte. France Victimes accompagne gratuitement au 116 006.

Reconnaître une demande de paiement frauduleuse avant qu’elle ne parte fait partie de nos formations en cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Reste la personne la plus exposée et la moins informée : celle dont un proche a transmis le numéro contre une commission. Si elle découvre l’existence de Propertips par l’appel d’un escroc, qui lui aura parlé en premier ?

Sources

• FrenchBreaches, alerte « NosRezo / Propertips », 16 septembre 2026.
• Cyberattaque.org, « Propertips by iad visé par une cyberattaque : 413 000 clients et conseillers en fuite », 16 septembre 2026.
• Fuites Infos, « NosRezo : fuite de données revendiquée visant ses clients et conseillers », 16 septembre 2026.
• Cyberattaque.org, « IAD Group : 3,8 millions de personnes et 966 Go de documents clients en fuite après une cyberattaque », 3 juillet 2026.
• Fuites Infos, « IAD Group : fuite de données confirmée, 3,8 millions de contacts annoncés », 3 juillet 2026.
• Propertips, mentions légales, conditions générales et politique de protection des données (mise à jour du 20 février 2026), consultées le 16 septembre 2026.
• iad France, site iadfrance.fr, consulté le 16 septembre 2026.
• Cybermalveillance.gouv.fr, « Que faire en cas de fraude au virement ou au faux RIB ? », consultée le 16 septembre 2026.
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• RGPD (règlement (UE) 2016/679), articles 33 et 34.
• Aucun forum criminel, site de revendication ni donnée volée n’a été consulté pour cet article.