Le parquet de Paris l’a annoncé ce vendredi 4 septembre: un homme de 18 ans a été mis en examen et placé en détention provisoire. Il est soupçonné d’être l’un des auteurs du vol de données à la Direction générale des Finances publiques. Un autre suspect, âgé de moins de 16 ans, a été relâché à l’issue de sa garde à vue, le temps d’exploiter son matériel. Rien n’est jugé. Tout est présumé.

La nouvelle n’est pas le piratage. Il date de juin et juillet. La nouvelle, c’est le premier visage judiciaire d’un duo qui, sous le nom ZeroBytes, a revendiqué le fisc, puis d’autres administrations. BFMTV relaie le parquet. Nous relions les chiffres déjà tenus par Bercy, et ce que cela change pour un lecteur crypto: une base fiscale, c’est un kit d’escroquerie.

Ce que le parquet tient, ce que Bercy avait déjà dit

Selon BFMTV, l’homme de 18 ans était déjà connu. Mis en examen en juin 2024 et en janvier 2025 pour des attaques informatiques commises en 2023 et 2024, alors qu’il était mineur. Le parquet de Paris le place aujourd’hui en détention. Nous n’avons pas, à l’heure où nous écrivons, l’identité publique, ni le détail des chefs (extraction frauduleuse, association de malfaiteurs: ces qualifications avaient été évoquées en août, elles ne sont pas recopiées ici comme un réquisitoire).

Le 14 août, Bercy avait parlé, noir sur blanc. Communiqué officiel:

Les investigations approfondies conduites depuis le 12 août 2026 ont permis d’établir que, préalablement à leur interruption, ces accès avaient été utilisés pour consulter et extraire certaines données concernant un total de 678 000 particuliers et professionnels.— Ministère de l’Économie, 14 août 2026

678 000. Pas « des millions » en l’air. Le chiffre de la DGFiP. Données citées par le ministère: revenu fiscal de référence, quotient familial, taux de prélèvement à la source; pour les entreprises, raison sociale, numéro Siren; et des données cadastrales (adresses, surfaces). La CNIL a été saisie. Une plainte était annoncée. Les usagers devaient être joints un par un.

ZeroBytes, de son côté, s’était présenté à l’AFP comme un duo français. Motivation déclarée: l’argent. Les fichiers, disaient-ils le 17 août, avaient déjà été vendus à « deux personnes », pour une somme en « milliers d’euros », et restaient « encore en vente ». Invérifiable. Dangereux même si c’est faux: une base se copie.

Pas de motivations précises, si ce n’est l’argent, j’imagine.— ZeroBytes, propos rapportés par l’AFP, 17 août 2026

Comment on entre au fisc: un VPN, pas un exploit de film

Le mode opératoire, tel que les sources concordantes le décrivent (DGFiP, TF1 Info, AFP): usurpation d’accès, pas une magie. Un VPN d’agent. Des identifiants. Fin juin, extraction massive. Fin juillet, autre serveur: le cadastre professionnel. ZeroBytes a aussi avancé plus de deux millions de titulaires côté parcelles; Bercy, dans le communiqué du 14 août, agrège 678 000 personnes concernées par les accès interrompus. Deux compteurs. On ne les additionne pas. On les range.

Le duo a revendiqué d’autres cibles françaises, « faciles » selon ses propos: Intermarché, la Fédération française de handball. Et, le 18 août sur X, un piratage de l’Éducation nationale, avec une phrase d’esbroufe sur des centaines de millions de lignes. L’entourage du ministre a confirmé à franceinfo qu’il s’agissait de l’intrusion déjà annoncée le 31 juillet. Le volume, lui, n’est pas un communiqué.

Pour le lecteur: ce n’est pas un nœud qui lâche. C’est un guichet qui a prêté ses clés. Une administration centralisée, un VPN, un agent. Le même schéma qu’un portefeuille branché sur une seule interface.

Pourquoi un média crypto raconte le fisc

Parce que la suite n’est pas le procès. C’est le phishing. Un SMS « DGFiP », un mail « régularisation », un faux KYC, une page qui demande la phrase de récupération. Les 678 000 noms, prénoms, revenus, taux, Siren: c’est le script d’un drainer mieux ciblé qu’un faux GTA. On l’a déjà vu sur un autre terrain, le leak de jeu. Ici, le prétexte est l’impôt. Plus crédible. Plus français.

Un infostealer sur le PC, un hardware wallet qu’on n’a pas, une signature qu’on donne « pour débloquer le dossier »: le fisc n’a pas besoin d’être re-piraté. La base déjà sortie suffit. Bercy a dit qu’il écrirait aux concernés. Écrire n’empêche pas le faux écrit. Le réflexe: on ne clique pas, on ne signe pas, on vérifie sur impots.gouv.fr en tapant l’adresse soi-même.

MiCA range les plateformes. Il ne range pas un adolescent derrière un VPN d’État. La régulation des marchés n’est pas l’hygiène des identifiants. Deux dossiers. Un seul lecteur exposé.

Ce qui est tenu, ce qui ne l’est pas

  • Tenu, ce 4 septembre: parquet de Paris. Homme de 18 ans mis en examen, écroué, soupçonné d’être l’un des auteurs du vol au fisc. Autre suspect de moins de 16 ans relâché après garde à vue. Antécédents judiciaires informatiques en 2024 et 2025, pour des faits de 2023-2024, alors qu’il était mineur. Source: BFMTV, d’après le parquet.
  • Tenu, depuis août: communiqué Bercy du 14 août, 678 000 particuliers et professionnels, types de données, saisine de la CNIL. Revendication ZeroBytes (duo, argent, revente à « deux personnes »). Intrusion Éducation nationale confirmée dans son principe (31 juillet).
  • Non tenu: culpabilité. Identité. Qu’il soit « le » ZeroBytes à lui seul. Le montant exact de la revente. Le volume de l’Éducation nationale. Que les 678 000 aient déjà été utilisés pour des drainers. Un lien technique public entre le matériel du mineur et les serveurs de la DGFiP.

Un écrou n’efface pas une base. Il ouvre un dossier. Les 678 000, eux, restent dehors. C’est là que se joue la suite, pas au palais.

Mis en examen n’est pas condamné. Écroué n’est pas jugé. Les données, elles, ne reviennent pas.— La rédaction

Sources: BFMTV, communiqué Bercy, AFP, TF1 Info, franceinfo. Rien ici n’est un conseil d’investissement.