Roumanie : un hacker efface le registre foncier national

L'effacement du cadastre roumain : chronologie d'une attaque par identifiants volés

Le 14 juillet 2026, l'ANCPI — Agence nationale pour le cadastre et la publicité immobilière de Roumanie — a confirmé une intrusion critique sur sa plateforme e-Terra, l'infrastructure centrale gérant l'ensemble des données cadastrales et d'enregistrement immobilier du pays. Le hacker, opérant sous le pseudonyme ByteToBreach, avait pénétré les systèmes plusieurs semaines auparavant en utilisant des identifiants valides, vraisemblablement obtenus via un infostealer ou une campagne de phishing ciblée contre un employé de l'agence.

La chronologie de l'attaque révèle une phase de reconnaissance interne prolongée avant le passage à l'acte destructeur. ByteToBreach a cartographié l'architecture réseau de l'ANCPI, identifié les serveurs de sauvegarde et accédé aux dépôts GitLab internes de l'agence. Pendant cette phase silencieuse, l'attaquant a exfiltré une copie complète des données : fiches citoyens, bases de données internes et code source des applications propriétaires. Ce n'est qu'après l'échec des négociations de rançon que ByteToBreach a enclenché la destruction — effaçant simultanément la base de données principale et les sauvegardes accessibles depuis le réseau interne.

L'impact sur le marché immobilier roumain a été immédiat et total. La plateforme e-Terra centralise tous les titres de propriété, hypothèques et servitudes du pays. Sans accès à ces données, les notaires ne pouvaient ni authentifier des actes de vente ni enregistrer de nouvelles transactions. L'ensemble des opérations immobilières a été gelé sur tout le territoire, dans un contexte particulièrement sensible : une échéance fiscale sur la TVA immobilière approchait, bloquant des centaines de millions d'euros de transactions déjà engagées.

L'attribution a été conduite par la société de cybersécurité KELA, qui a identifié ByteToBreach comme Zakaria Mahdjoub, un cybercriminel basé à Oran, en Algérie. Dès le 15 juillet 2026 — soit le lendemain de la confirmation de l'attaque — les données volées ont été proposées à la vente sur un forum darknet. Le lot mis en vente incluait des informations personnelles de millions de citoyens roumains, des bases de données internes de l'ANCPI et des dépôts de code source provenant des serveurs GitLab de l'agence. Le BlackBullet Research Group a documenté deux autres intrusions confirmées sur des entités roumaines dans la même période de trois jours, suggérant une campagne coordonnée plutôt qu'un incident isolé.

Sur le plan de la récupération, l'ANCPI a bénéficié d'une sauvegarde hors ligne que l'attaquant n'avait pas réussi à atteindre — une décision d'architecture qui a transformé une perte irrémédiable potentielle en interruption de service prolongée. L'agence conservait en effet des copies de ses données dans plusieurs emplacements distincts, dont au moins un non connecté au réseau interne en permanence. Cette précaution a permis d'entamer une reconstruction progressive du système, même si la durée complète de retour à la normale n'a pas été communiquée officiellement.

Le vecteur d'attaque retient particulièrement l'attention des analystes. ByteToBreach n'a exploité aucune CVE connue, n'a déposé aucun malware détectable par signatures antivirales, et n'a effectué aucun mouvement latéral visible via des outils offensifs standards. L'attaquant s'est simplement authentifié avec des credentials légitimes — le même schéma qui caractérise une part croissante des intrusions les plus dommageables de 2025-2026. Ce profil d'attaque rend inefficaces la plupart des dispositifs de détection basés sur les signatures ou les indicateurs de compromission (IOC) traditionnels.

La dimension extorsion ajoute une couche de complexité stratégique à l'incident. ByteToBreach avait d'abord cherché à monétiser l'accès par une demande de rançon — une posture hybride entre ransomware classique et vol de données pur. Le refus ou l'impossibilité de payer a déclenché la destruction des données, transformant une tentative d'extorsion en sabotage d'infrastructure critique. Ce schéma, parfois désigné sous le terme de hack-and-delete, constitue une tendance émergente qui complexifie la réponse à incident : le paiement de la rançon n'aurait vraisemblablement pas garanti la non-destruction des données.

Cette attaque s'inscrit dans un contexte européen préoccupant pour les registres publics. Plusieurs pays ont signalé des tentatives d'intrusion sur leurs systèmes cadastraux et bases de données d'état civil au cours des dix-huit derniers mois. Ces données sont particulièrement valorisables pour la fraude immobilière, la falsification de titres de propriété et les opérations de social engineering à grande échelle contre des particuliers ou des entreprises.

Pourquoi cet incident redéfinit le risque identité pour les infrastructures critiques

L'attaque contre l'ANCPI illustre de façon saisissante une vulnérabilité structurelle des administrations publiques : le vecteur identité. Contrairement aux attaques par exploitation de failles logicielles documentées dans les CVE, une attaque basée sur des credentials volés ne laisse quasiment aucune trace distinctive dans les journaux d'événements standards. L'attaquant opère dans les mêmes couloirs que les utilisateurs légitimes, ce qui rend sa détection extraordinairement difficile sans mécanismes avancés d'analyse comportementale (UEBA).

Ce type de vecteur est en forte progression depuis 2024. Les infostealers — logiciels malveillants de vol de sessions et d'identifiants, distribués via des extensions de navigateur malveillantes, des logiciels piratés ou des campagnes de phishing ciblées — alimentent un marché souterrain en expansion. Les logs d'infostealers se négocient quelques euros par poste compromis sur les forums criminels, rendant l'acquisition de credentials d'administration publique accessible à des acteurs aux ressources limitées. Selon plusieurs rapports sectoriels publiés au premier semestre 2026, les infostealers sont impliqués dans plus de 40 % des incidents de compromission d'organisations ne présentant aucune vulnérabilité logicielle exploitable documentée.

Pour les entreprises et administrations françaises, cet incident résonne directement avec les obligations NIS2 en vigueur et les recommandations de l'ANSSI. L'ANSSI préconise depuis plusieurs années la segmentation des accès, l'authentification multi-facteurs (MFA) sur tous les comptes d'administration, et l'isolement physique des sauvegardes critiques. L'affaire ANCPI démontre que l'absence de ces mesures peut conduire à l'arrêt complet d'un service public national, avec des répercussions économiques massives sur l'ensemble des acteurs dépendant de ce service — notaires, banques, agences immobilières, particuliers.

L'incident met également en lumière les limites de la centralisation des données critiques. Concentrer l'intégralité du cadastre national dans un système unique, même sécurisé, crée un point de défaillance singulier dont la compromission a des effets systémiques immédiats. Les architectures résilientes pour les infrastructures critiques doivent intégrer des mécanismes de réplication géographique, de segmentation des droits d'accès par zones de données, et des procédures de bascule permettant de maintenir un service dégradé lors d'une compromission partielle.

Ce qu'il faut retenir

• L'attaque ANCPI repose exclusivement sur des credentials volés, sans exploitation de CVE — le vecteur identité représente le risque numéro un en 2026 pour les infrastructures critiques.
• La centralisation des données nationales dans un système unique sans isolation des sauvegardes a permis à un seul acteur de paralyser un marché immobilier entier.
• La présence de sauvegardes hors ligne a évité la perte irrémédiable des données — une mesure élémentaire qui doit figurer dans tout plan de résilience opérationnelle.