Sur la base des travaux de recherche du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Le secteur immobilier a longtemps été considéré comme un retardataire du numérique – et donc, selon l'hypothèse, comme peu intéressant pour les cybercriminels. Cette hypothèse est dangereusement fausse. Avec la numérisation rapide du secteur, l'émergence des plateformes PropTech et l'interconnexion de bâtiments entiers, l'économie immobilière s'est transformée en une cible attrayante pour les attaques. Teichmann a analysé de manière systématique les cyber-risques spécifiques à ce secteur et les concepts de protection adaptés (Teichmann, Digitale Immobilienwirtschaft (PropTech) – Cyber-Bedrohungen und Schutzkonzepte, InTeR 2025, p. 109–116).

Les chiffres parlent d'eux-mêmes

La menace pesant sur le secteur immobilier a atteint une dimension dont beaucoup d'acteurs du marché n'ont pas encore conscience. Aujourd'hui, 93 % des entreprises immobilières accordent une grande importance à la cybersécurité. Plus de la moitié des entreprises interrogées ont déjà subi des cyberattaques sur leurs propres systèmes ou sur ceux de leurs prestataires de services informatiques. Les grands groupes immobiliers doivent s'attendre à une moyenne de plus de 280 cyberattaques par an (Teichmann, InTeR 2025, p. 109–116).

L'écart entre la prise de conscience et la préparation est particulièrement révélateur : si environ 51 % des entreprises immobilières ont désormais établi une stratégie de cybersécurité, près de 80 % ne disposent d'aucune stratégie globale pour protéger leurs équipements techniques du bâtiment. C'est précisément là, à l'intersection entre l'informatique classique et l'infrastructure connectée des bâtiments, que réside la vulnérabilité la plus grande et la moins bien comprise (Teichmann, InTeR 2025, p. 109–116).

Où apparaissent les nouvelles surfaces d'attaque

Teichmann identifie trois domaines clés où la numérisation de l'économie immobilière crée de nouvelles failles de sécurité.

Les plateformes PropTech et les places de marché numériques traitent des données hautement sensibles – données clients et contractuelles, informations de paiement – et sont accessibles via Internet. Le problème : les start-ups privilégient souvent une entrée rapide sur le marché et la croissance, tandis que la sécurité informatique n'est pas au premier plan au départ. Des applications web insuffisamment protégées deviennent ainsi la cible d'attaques par injection SQL, de fuites de données ou d'usurpations de comptes. S'y ajoutent des scénarios de fraude tels que de fausses annonces ou la manipulation de flux financiers (Teichmann, InTeR 2025, p. 109–116).

Les systèmes de gestion basés sur le cloud offrent une grande efficacité, mais créent des dépendances critiques : la sécurité des données repose dans une large mesure entre les mains du prestataire de services cloud. Des erreurs de configuration ou des failles dans les environnements cloud peuvent permettre aux attaquants d'accéder à de vastes bases de données. Les plateformes axées sur les données, qui génèrent des évaluations immobilières à l'aide du Big Data et de l'IA, agrègent en outre de grandes quantités de données sur les biens, les utilisateurs et les transactions – des pools de données centralisés qui constituent une cible lucrative (Teichmann, InTeR 2025, p. 109–116).

Le danger le plus sous-estimé réside peut-être dans les équipements techniques du bâtiment eux-mêmes. Dans les bâtiments modernes, le chauffage, la ventilation, la climatisation, les ascenseurs, l'éclairage, les contrôles d'accès et la vidéosurveillance sont connectés numériquement et souvent pilotables à distance. Chaque appareil IoT supplémentaire est une porte d'entrée potentielle. Beaucoup de ces appareils utilisent des protocoles d'automatisation du bâtiment obsolètes comme BACnet ou KNX, qui ne sont souvent ni chiffrés ni authentifiés. Pour aggraver les choses, la responsabilité de la sécurité informatique et celle des équipements techniques du bâtiment sont souvent distinctes dans la pratique – les responsables de la sécurité ignorent parfois quels systèmes sont connectés en ligne (Teichmann, InTeR 2025, p. 109–116).

Les conséquences d'une attaque réussie sur les équipements d'un bâtiment vont de la manipulation du système de climatisation à des dommages physiques, en passant par des attaques contre les systèmes de sécurité tels que les capteurs d'alarme et les systèmes de fermeture électronique – ce qui pourrait permettre aux pirates de faciliter des cambriolages ou d'obtenir un accès non autorisé.

La dimension juridique

Pour le secteur immobilier, plusieurs réglementations se superposent. Le RGPD oblige toutes les entreprises qui traitent des données personnelles de locataires, d'acheteurs ou d'intéressés à prendre des mesures de protection techniques et organisationnelles appropriées. Les violations de données doivent être notifiées dans un délai de 72 heures.

NIS2 concerne les grandes entreprises immobilières et en particulier celles qui exploitent des infrastructures critiques ou qui atteignent une taille significative en tant que fournisseurs de services numériques. Le Cyber Resilience Act (CRA) concerne quant à lui les fabricants d'équipements connectés du bâtiment : les composants de smart building et les appareils IoT devront répondre aux exigences du CRA à partir de 2027. Cela déplace une partie de la responsabilité des exploitants vers les fabricants de technologies – sans pour autant décharger les exploitants (Teichmann, InTeR 2025, p. 109–116).

Les cyberattaques lors des transactions immobilières : une menace à part entière

La fraude par détournement de paiement (Payment Diversion Fraud) est particulièrement perfide : les attaquants compromettent les communications par e-mail entre l'acheteur, le vendeur, l'agent immobilier et le notaire et, au moment décisif, introduisent de fausses instructions de paiement avec des coordonnées bancaires modifiées. L'acheteur vire le prix d'achat – aux fraudeurs. Étant donné que les transactions immobilières impliquent souvent des montants à six ou sept chiffres, le préjudice est énorme en cas de succès. La protection réside dans des processus clairs : les données de paiement ne doivent jamais être transmises et acceptées uniquement par e-mail, mais doivent toujours être vérifiées via un second canal indépendant (Teichmann, Cyberangriffe auf Immobilientransaktionen – Betrugsmaschen und Absicherung von Kaufprozessen, Swiss Real Estate Journal 2025, p. 4–11).

Concepts de protection : ce que les entreprises immobilières doivent faire

Sur le plan technique, cela comprend : le chiffrement des données sensibles, l'authentification multifacteur pour tous les systèmes critiques, des mises à jour de sécurité régulières et – élément particulièrement important pour les équipements techniques du bâtiment – la segmentation du réseau. Les systèmes d'automatisation des bâtiments doivent être strictement séparés du réseau informatique général de l'entreprise.

Sur le plan organisationnel, le regroupement des responsabilités est crucial. La séparation artificielle entre la sécurité informatique et la gestion technique du bâtiment doit être supprimée. Il est nécessaire de disposer d'un service centralisé qui sait quels appareils sont connectés et quelles vulnérabilités existent.

Sur le plan juridique, les contrats conclus avec les prestataires PropTech, les fournisseurs de services cloud et les fabricants de technologies doivent inclure des exigences de sécurité, des droits d'audit et des clauses de responsabilité. Quiconque intègre des composants tiers non sécurisés partage la responsabilité en cas de sinistre (Teichmann, InTeR 2025, p. 109–116).

Conclusion : le monde physique rejoint le cyberespace

La numérisation de l'économie immobilière est irréversible – et avec elle, la fusion des bâtiments physiques avec le cyberespace. Exploiter un bâtiment connecté revient à exploiter un système informatique susceptible d'être attaqué. La bonne nouvelle : les concepts de protection sont connus et applicables. La mauvaise : près de 80 % du secteur ne les ont pas encore mis en œuvre pour leurs équipements techniques. Les entreprises qui prennent les devants ne protègent pas seulement leur activité, elles s'assurent également un véritable avantage concurrentiel dans un secteur qui commence tout juste à prendre le sujet au sérieux.

Toutes les sources font référence à des publications scientifiques du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliographie complète est documentée dans la liste des publications (en date de mai 2026).