La valeur n’attend décidément pas le nombre des années. Deux très jeunes suspects ont été interpellés dans le cadre des enquêtes ouvertes après les différentes cyberattaques ayant visé la Direction générale des finances publiques (DGFiP) cet été. Ils sont tous les deux soupçonnés de faire partie du groupe ZeroBytes, qui écume les serveurs de l’administration française depuis le début de l’été. Malgré ses 18 ans, le plus âgé est déjà loin d’être un inconnu des services de police.
L’affaire a commencé à la fin du mois de juillet pour les enquêteurs. Deux intrusions, réalisées en juin et juillet à l’aide d’accès compromis appartenant à des agents de l’État, ont permis aux pirates de mettre la main sur les données personnelles de 678 000 particuliers et professionnels. Des informations fiscales, dont le revenu fiscal de référence, ont notamment été dérobées, tandis que des informations cadastrales ont également été consultées. La DGFiP a depuis ajouté un troisième incident, concernant le portail des successions vacantes : une vulnérabilité y a été découverte le 17 août et l’administration a constaté qu’une extraction avait bien eu lieu.
On prend les mêmes et on recommence : ZeroBytes annonce avoir piraté le service Zéro Logement Vacant
Si la liste détaillée de toutes les victimes n’est bien entendu pas ouverte au public, un personnage très haut placé de l’État a confirmé faire partie de la liste récupérée sur les serveurs de la DGFiP : Jean-Noël Barrot, qui n’est autre que le ministre de l’Europe et des Affaires étrangères.
Une enquête a donc été confiée à l’Office anticybercriminalité (OFAC), et les policiers n’ont visiblement pas perdu de temps : le premier suspect, né en janvier 2008 et domicilié dans l’Essonne, a été interpellé dès le 18 août. À l’issue de sa garde à vue, il a été mis en examen le 20 août pour plusieurs chefs particulièrement sérieux, dont l’accès et le maintien frauduleux dans un système de traitement automatisé de données (STAD) à caractère personnel en bande organisée, l’extraction frauduleuse de données d’un système mis en œuvre par l’État ou encore l’association de malfaiteurs. Il a ensuite été placé en détention provisoire.
Selon Le Monde, le jeune homme serait connu dans le petit monde de la cybercriminalité sous le pseudonyme de « ChatNoir ». Le parquet ne confirme pas publiquement ce pseudonyme, mais indique que le suspect est bien soupçonné de faire partie de ZeroBytes et d’être l’un des auteurs des attaques ayant visé la DGFiP. De là à imaginer que son pseudo ait fini par lui porter la poisse…
Piratage du fisc : derrière ZeroBytes, l’appât du gain plus que la politique
Et à seulement 18 ans, son CV judiciaire commence déjà à être particulièrement fourni. Volant de serveur en serveur comme un chat de gouttière, « ChatNoir » est mis en examen dans deux autres affaires de cybercriminalité pour des faits qu’il aurait commis alors qu’il était encore mineur. L’une concerne notamment le piratage des comptes X de BFM-TV et RMC ainsi que des vols de données chez plusieurs entreprises, dont LDLC. L’autre concerne le spectaculaire piratage de Free ayant entraîné le vol des données de plus de 19 millions de clients : de quoi donner enfin un visage à l’un des suspects de la gigantesque fuite d’IBAN de l’opérateur ? Étant mineur au moment des faits, il avait été placé en centre éducatif fermé après sa mise en examen dans cette dernière affaire, avant d’obtenir un placement sous contrôle judiciaire.
Le jeune homme serait également l’un des cofondateurs d’Epsilon, un collectif de pirates français particulièrement actif en 2023 et 2024. Le nom désignait aussi un logiciel malveillant de type infostealer, dont le but était notamment de récupérer les identifiants et mots de passe stockés sur les ordinateurs infectés. D’après un chercheur de Sekoia interrogé par ZDNet en 2024, l’outil n’avait d’ailleurs rien de révolutionnaire : ses créateurs auraient essentiellement adapté des logiciels malveillants préexistants. Pas du piratage de haut vol donc, mais largement assez casse-pieds pour les utilisateurs victimes.
Cyberattaque : à dix jours de la rentrée, l’Éducation nationale « au chômage technique »
Le second suspect est encore plus jeune. Né en 2010 et âgé de 15 ans, il a été placé en garde à vue le 26 août dans le dossier concernant la DGFiP, avant d’être remis en liberté sans mise en examen, notamment afin de permettre aux enquêteurs d’exploiter le matériel informatique saisi lors de son interpellation. Il reste cependant soupçonné d’avoir participé aux activités de ZeroBytes. Selon Le Monde, il utiliserait le pseudonyme « Casquette » et serait un ancien complice de ChatNoir.
Mais ses ennuis ne se sont pas arrêtés là. L’adolescent a de nouveau été interpellé le 2 septembre, cette fois dans l’enquête concernant Epsilon. Il a été mis en examen ce vendredi 4 septembre et placé sous contrôle judiciaire. Le détail donne une idée assez vertigineuse de l’âge des protagonistes : certaines attaques attribuées à Epsilon remontent à une époque où « Casquette » n’avait que 13 ans.
Reste maintenant une question particulièrement intéressante : qui se cache réellement derrière ZeroBytes ? Le compte utilisé par le groupe sur un forum cybercriminel est resté très actif après l’incarcération de ChatNoir le 20 août. ZeroBytes a continué à publier des échantillons et à revendiquer de nouvelles attaques, notamment contre des services liés à l’Éducation nationale, puis Zéro Logement Vacant et Géofoncier. Ce compte n’est devenu silencieux que le 2 septembre, date à laquelle son compte X a également disparu. Coïncidence intéressante, c’est précisément ce jour-là que « Casquette » a été interpellé une seconde fois, cette fois dans l’enquête concernant Epsilon. Les comptes de ZeroBytes étaient donc encore bien actifs alors que « ChatNoir » se trouvait déjà derrière les barreaux.
SFR confirme une fuite de données touchant ses clients Fibre, plus de 2 millions de lignes revendiquées
L’incarcération d’un membre présumé n’a donc manifestement pas suffi à faire taire ZeroBytes. Cela peut avoir plusieurs explications : le groupe compte d’autres membres, plusieurs personnes disposaient de ses comptes, ou certaines attaques avaient déjà été réalisées avant l’arrestation et n’ont été revendiquées que plus tard. À ce stade, l’enquête ne permet pas de trancher.
La liste attribuée par le parquet à ZeroBytes est en tout cas devenue impressionnante. Outre la DGFiP, celui-ci cite notamment des services de l’Éducation nationale, France Travail, la Fédération française de handball, Intermarché, SFR, Bureau Vallée ou encore Pulsy, un groupement régional lié à la santé numérique dans le Grand Est.
La DGFiP précise de son côté que les espaces personnels et professionnels d’Impots.gouv.fr n’ont pas été compromis. Elle reconnaît désormais des accès illégitimes intervenus en juin, juillet et août 2026, ainsi que l’extraction de données du portail des successions vacantes.
Il faudra maintenant voir ce que l’exploitation des appareils saisis permettra aux enquêteurs de déterminer. Mais une chose paraît déjà acquise : derrière un groupe qui multipliait depuis plusieurs semaines les provocations et les revendications spectaculaires se trouvent potentiellement des pirates beaucoup plus jeunes que leur communication pouvait le laisser penser. Et pour l’un d’eux, les faits qui lui sont aujourd’hui reprochés auraient été commis alors qu’il était déjà poursuivi dans plusieurs autres affaires.
Si la justice conclut à leur culpabilité, les deux olibrius risquent donc de payer assez cher leur fanfaronnade. Interrogé sur le risque d’être poursuivi, l’un des membres de ZeroBytes affirmait encore récemment ne pas être inquiet, assurant se trouver dans un pays n’ayant pas d’accord d’extradition avec la France. Nos jeunes ont du talent, certes… mais pour le moment Frank Abagnale Jr. aura fait courir les autorités bien plus longtemps.
