Roumanie : une cyberattaque paralyse les transactions immobilières

L’Agence nationale du cadastre et de la publicité immobilière (ANCPI) de Roumanie a été victime d’une cyberattaque majeure, qui a entraîné le blocage total de sa plateforme centrale e-Terra et de tous les systèmes d’information associés.

Cette plateforme joue un rôle crucial : il s’agit du système centralisé de gestion du cadastre et du registre foncier. Elle permet de dématérialiser et d’automatiser toutes les procédures d’urbanisme, les transactions immobilières et la délivrance des documents officiels.

Cet incident a débuté le 14 juillet et a provoqué l’arrêt à l’échelle nationale de toutes les transactions immobilières et de tous les enregistrements officiels. L’attaque a été revendiquée par l’acteur malveillant ByteToBreach, qui a invoqué des motivations financières.

L’ANCPI a initialement déclaré que les bases de données principales n’avaient pas été compromises. Mais dans des messages publiés sur des forums bien connus des cybercriminels, notamment, l’assaillant a affirmé avoir dérobé d’énormes quantités de données et de code source. Et d’étayer son propos avec des échantillons. Selon Kela (un spécialiste du renseignement sur les menaces), « une partie de l’ensemble de données exfiltrée, partagée au format JSON, fournit ce qui semble être un environnement actif interne détaillé de l’ANCPI, permettant à un acteur externe de cartographier des systèmes de grande valeur, d’analyser les politiques de sécurité internes et de calculer les chemins vers le contrôle au niveau du domaine sans interagir avec le réseau de la victime ».

L’agence s’emploie à rétablir ses services en migrant les systèmes critiques vers un environnement cloud souverain, mais ceux-ci sont restés indisponibles pendant plusieurs jours.

Cette cyberattaque a gravement perturbé le marché immobilier, semant le doute chez les acheteurs et les vendeurs, notamment en ce qui concerne la date limite d’application de la TVA à 9 % pour les transactions immobilières : elle doit être augmentée en août.

De son côté, Kela estime que l’acteur malveillant impliqué, ByteToBreach, cache probablement « Zakaria Mahdjoub, une personne basée à Oran, en Algérie ». Et d’assurer que « cette évaluation est étayée par des preuves techniques, y compris des données récupérées à partir d’appareils infectés par des cleptogiciels ».

En France, cet acteur s’est notamment illustré à l’automne 2025 avec le vol du contenu d’une base de données au sein de la filiale française d’Eurofiber, en exploitant une faille d’injection SQL, la CVE-2025-24799, dans GPLI.