Piratage du fisc: un présumé membre de ZeroBytes écroué

Le parquet de Paris l’a annoncé ce vendredi 4 septembre: un homme de 18 ans a été mis en examen et placé en détention provisoire. Il est soupçonné d’être l’un des auteurs du vol de données à la Direction générale des Finances publiques. Un autre suspect, âgé de moins de 16 ans, a été relâché à l’issue de sa garde à vue, le temps d’exploiter son matériel. Rien n’est jugé. Tout est présumé.

La nouvelle n’est pas le piratage. Il date de juin et juillet. La nouvelle, c’est le premier visage judiciaire d’un duo qui, sous le nom ZeroBytes, a revendiqué le fisc, puis d’autres administrations. BFMTV relaie le parquet. Nous relions les chiffres déjà tenus par Bercy, et ce que cela change pour un lecteur crypto: une base fiscale, c’est un kit d’escroquerie.

Ce que le parquet tient, ce que Bercy avait déjà dit

PartenaireJusqu’à 400 € de bonus à l’ouverture8 % sur les dépôts USDT, campagne en cours.Code 74422731Créer un compte

Selon BFMTV, l’homme de 18 ans était déjà connu. Mis en examen en juin 2024 et en janvier 2025 pour des attaques informatiques commises en 2023 et 2024, alors qu’il était mineur. Le parquet de Paris le place aujourd’hui en détention. Nous n’avons pas, à l’heure où nous écrivons, l’identité publique, ni le détail des chefs (extraction frauduleuse, association de malfaiteurs: ces qualifications avaient été évoquées en août, elles ne sont pas recopiées ici comme un réquisitoire).

Le 14 août, Bercy avait parlé, noir sur blanc. Communiqué officiel:

678 000. Pas « des millions » en l’air. Le chiffre de la DGFiP. Données citées par le ministère: revenu fiscal de référence, quotient familial, taux de prélèvement à la source; pour les entreprises, raison sociale, numéro Siren; et des données cadastrales (adresses, surfaces). La CNIL a été saisie. Une plainte était annoncée. Les usagers devaient être joints un par un.

ZeroBytes, de son côté, s’était présenté à l’AFP comme un duo français. Motivation déclarée: l’argent. Les fichiers, disaient-ils le 17 août, avaient déjà été vendus à « deux personnes », pour une somme en « milliers d’euros », et restaient « encore en vente ». Invérifiable. Dangereux même si c’est faux: une base se copie.

Comment on entre au fisc: un VPN, pas un exploit de film

Le mode opératoire, tel que les sources concordantes le décrivent (DGFiP, TF1 Info, AFP): usurpation d’accès, pas une magie. Un VPN d’agent. Des identifiants. Fin juin, extraction massive. Fin juillet, autre serveur: le cadastre professionnel. ZeroBytes a aussi avancé plus de deux millions de titulaires côté parcelles; Bercy, dans le communiqué du 14 août, agrège 678 000 personnes concernées par les accès interrompus. Deux compteurs. On ne les additionne pas. On les range.

Le duo a revendiqué d’autres cibles françaises, « faciles » selon ses propos: Intermarché, la Fédération française de handball. Et, le 18 août sur X, un piratage de l’Éducation nationale, avec une phrase d’esbroufe sur des centaines de millions de lignes. L’entourage du ministre a confirmé à franceinfo qu’il s’agissait de l’intrusion déjà annoncée le 31 juillet. Le volume, lui, n’est pas un communiqué.

Pour le lecteur: ce n’est pas un nœud qui lâche. C’est un guichet qui a prêté ses clés. Une administration centralisée, un VPN, un agent. Le même schéma qu’un portefeuille branché sur une seule interface.

Pourquoi un média crypto raconte le fisc

Parce que la suite n’est pas le procès. C’est le phishing. Un SMS « DGFiP », un mail « régularisation », un faux KYC, une page qui demande la phrase de récupération. Les 678 000 noms, prénoms, revenus, taux, Siren: c’est le script d’un drainer mieux ciblé qu’un faux GTA. On l’a déjà vu sur un autre terrain, le leak de jeu. Ici, le prétexte est l’impôt. Plus crédible. Plus français.

Un infostealer sur le PC, un hardware wallet qu’on n’a pas, une signature qu’on donne « pour débloquer le dossier »: le fisc n’a pas besoin d’être re-piraté. La base déjà sortie suffit. Bercy a dit qu’il écrirait aux concernés. Écrire n’empêche pas le faux écrit. Le réflexe: on ne clique pas, on ne signe pas, on vérifie sur impots.gouv.fr en tapant l’adresse soi-même.

MiCA range les plateformes. Il ne range pas un adolescent derrière un VPN d’État. La régulation des marchés n’est pas l’hygiène des identifiants. Deux dossiers. Un seul lecteur exposé.

Ce qui est tenu, ce qui ne l’est pas

Un écrou n’efface pas une base. Il ouvre un dossier. Les 678 000, eux, restent dehors. C’est là que se joue la suite, pas au palais.

Sources: BFMTV, communiqué Bercy, AFP, TF1 Info, franceinfo. Rien ici n’est un conseil d’investissement.