Fuite Snexi : le prestataire que vous n'avez pas choisi

Personne ne choisit la société qui vient relever l’état des lieux de son appartement. C’est l’agence qui l’envoie, et le nom sur le rapport n’est pas celui avec lequel on a signé le bail.

Ce nom, cette semaine, c’est Snexi.

Ce que l’entreprise a confirmé

La Société Nationale d’Expertise Immobilière, créée en 2013 à Tours, a reconnu une cyberattaque du 2 septembre 2026 ayant entraîné une violation de données personnelles. L’avis était un bandeau sur snexi.fr, relevé le 7 septembre par les traqueurs FrenchBreaches et Fuites Infos. Nous l’avons cherché le 12 septembre : il n’y figure plus, et nous citons donc l’entreprise à travers ces deux relevés.

Snexi y indique que des noms, prénoms, adresses électroniques, adresses postales et numéros de téléphone « peuvent notamment être concernés », selon les profils, et ne détenir « aucune donnée financière, bancaire ou sensible ». Elle dit avoir sécurisé ses systèmes, notifié la CNIL, et poursuivre ses investigations. Une adresse électronique dédiée permet de demander si l’on figure dans le périmètre. Aucun nombre de personnes n’est communiqué : le point compte pour la suite.

L’entreprise affiche sur son site 1 110 000 états des lieux et 1 500 000 diagnostics depuis sa création, avec 750 opérateurs partenaires. C’est une filiale du groupe Arche, qui réunit aussi Citya Immobilier, Laforêt, Guy Hoquet ou Century 21.

Ce que le pirate revendique

Le 11 septembre au soir, un compte signant ChimeraZ a mis en vente sur un forum criminel une base étiquetée « Citya Immobilier » : 2 249 970 lignes en trois fichiers JSON, environ 2 Go, pour 1 139 584 personnes et 1 833 agences selon son auteur, plus près de 50 000 codes d’accès d’immeubles. C’est le pseudonyme qui avait publié six bases françaises et belges le 3 septembre.

Les traqueurs qui ont examiné des échantillons y décrivent des dossiers de mission : identités de locataires et de propriétaires, coordonnées, adresse précise avec numéro de lot, surface, étage, éléments de chauffage, date du rendez-vous, agence donneuse d’ordre. Fuites Infos, sur un lot de 2 100 dossiers, relève un code d’accès dans 3,6 % des enregistrements concernés. Ni données bancaires ni mots de passe n’ont été observés, ce qui rejoint la déclaration de Snexi.

La part d’incertitude, elle, est large.

Les volumes viennent du vendeur et de personne d’autre. Snexi n’a validé ni le nombre de personnes, ni la présence de digicodes : son avis ne mentionne que des coordonnées. Une même personne peut figurer plusieurs fois, à l’entrée puis à la sortie d’un logement, ce qui fait de 1 139 584 un maximum revendiqué plutôt qu’un décompte. FrenchBreaches classe d’ailleurs cette publication « revendiquée (crédible) » quand l’incident sous-jacent, lui, est confirmé : confondre les deux fait écrire n’importe quoi.

Un repère : Snexi revendique 1 110 000 états des lieux réalisés. L’ordre de grandeur du pirate n’a rien d’absurde, sans pour autant le prouver.

L’étiquette « Citya » ne dit pas ce qu’on croit

La base porte le nom d’un gestionnaire connu, pas celui du prestataire attaqué. Commercialement utile pour le vendeur, et trompeur : interrogée, Snexi a indiqué que ces données relèvent de son propre incident et non d’une fuite distincte des systèmes de Citya, selon FrenchBreaches et Cyberattaque.org. Rien de public n’établit une compromission chez le gestionnaire, qui n’a pas communiqué. Le nom d’un client dans un fichier volé chez son prestataire est le mécanisme habituel, pas une seconde victime.

Un état des lieux décrit votre porte

Un dossier d’état des lieux dit qui habite, à quelle adresse, à quel étage, dans quel lot, avec quel chauffage, pour quelle agence. Ce sont les éléments qu’un occupant croit connus de son seul bailleur.

Un faux courriel de régularisation de charges, citant la bonne agence et la bonne surface, avec de nouvelles coordonnées bancaires. Un inconnu qui se présente comme le diagnostiqueur, connaît le numéro de lot et, si les 50 000 codes existent, entre sans sonner.

L’IA ne change rien à la valeur de ces données. Elle change le coût de leur exploitation : un fichier structuré champ par champ se transforme en milliers de messages, chacun avec sa bonne adresse et son bon interlocuteur, dans un français correct. La fraude fonctionnait déjà sans elle. Elle devient rentable à une échelle qui ne l’était pas.

Trois réflexes pour un locataire ou un propriétaire

Aucune coordonnée bancaire ne change par courriel. Charges, rappel de loyer, dépôt de garantie : rappelez le numéro figurant sur votre bail ou vos quittances, jamais celui du message.

Ne laissez entrer personne sur la foi d’un nom. Un intervenant se vérifie auprès de l’agence avant d’ouvrir. Connaître votre étage ne prouve rien.

Signalez. Un SMS suspect se transfère au 33700, un courriel sur Signal Spam. Si vous avez payé ou donné un RIB : opposition bancaire, puis 17cyber.gouv.fr ou Info Escroqueries au 0 805 805 817.

Agences, syndics, bailleurs : qui informe les personnes ?

Pas Snexi, dans la plupart des cas. C’est l’angle mort de ce dossier.

Quand une agence mandate un prestataire pour un état des lieux, elle détermine la finalité du traitement : elle est responsable au sens de l’article 4, point 7, du RGPD, et le prestataire est sous-traitant au sens du point 8. L’article 33, paragraphe 2, oblige ce dernier à alerter le responsable dans les meilleurs délais, mais c’est au responsable de notifier la CNIL sous soixante-douze heures et, si le risque est élevé, d’informer les personnes au titre de l’article 34. Me Reda Kohen relevait le 9 septembre que plusieurs statuts se superposent dans une chaîne de ce type.

Donc : « Snexi a notifié la CNIL » ne solde pas votre obligation. Sortez le contrat prévu par l’article 28, qualifiez votre rôle, et décidez ce que vous écrivez à vos locataires.

Pour les syndics, une décision se prend cette semaine plutôt que le mois prochain : changer les codes d’accès concernés. Aucune assemblée générale n’est requise, l’article 18 de la loi n° 65-557 du 10 juillet 1965 chargeant le syndic de l’administration et de la garde de l’immeuble.

Ces réflexes sont le socle de notre formation Cybersécurité pour tous, et nos parcours figurent sur la page cybersécurité ; l’enchaînement prestataire-client fait l’objet d’un article à part. Un mot sur notre statut : DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Une question pour tout gestionnaire : combien de prestataires détiennent l’adresse, le numéro de lot et parfois le code d’entrée de vos occupants, et lequel sauriez-vous nommer sans ouvrir un contrat ?

Sources

• FrenchBreaches, alerte « Snexi », 7 septembre 2026, statut « Confirmée » : avis publié par Snexi, notification CNIL.
• FrenchBreaches, alerte « Snexi / Citya Immobilier », 11 septembre 2026, statut « Revendiquée (crédible) » : volumes, catégories de données, position de Snexi sur l’étiquette Citya.
• Fuites Infos, « Fuite de données chez Snexi », 7 septembre 2026, mis à jour le 11 septembre : échantillons, 2 100 dossiers, codes d’accès dans 3,6 % des cas.
• Cyberattaque.org, « Snexi confirme une fuite de données après une cyberattaque » et « 2,2 millions de lignes et 50 000 digicodes liées à Citya », 11 septembre 2026.
• La Nouvelle République, « Snexi, entreprise de Tours membre du groupe Arche Immobilier, victime d’une cyberattaque », 8 septembre 2026.
• Snexi et groupe Arche, sites officiels, consultés le 12 septembre 2026.
• Kohen Avocats, « Snexi attaquée : ce que doivent décider agences, diagnostiqueurs et gestionnaires », 9 septembre 2026.
• RGPD, articles 4, 28, 33 et 34 (CNIL) ; loi n° 65-557 du 10 juillet 1965, article 18.
• Cybermalveillance.gouv.fr : 33700, Signal Spam, 17Cyber, Info Escroqueries.