Piratage du fisc : un hackeur de 16 ans mis en examen, ses outils menacent aussi les détenteurs de crypto

Seize ans, et déjà deux mises en examen. Le Monde rapporte que l’adolescent surnommé « Casquette » a été mis en examen mercredi 28 octobre dans l’enquête sur le piratage de la DGFiP. La justice vise désormais un garçon des Bouches-du-Rhône, soupçonné d’avoir aidé à siphonner les données de 678 000 contribuables.

Pour les détenteurs de crypto, l’affaire déborde largement du fisc. Le duo visé par les juges vendait un infostealer qui aspire mots de passe et wallets sur les ordinateurs infectés. Les fichiers volés à Bercy offrent en prime les noms, adresses et revenus de centaines de milliers de Français.

L’Office anti-cybercriminalité (OFAC) l’a placé en garde à vue le mardi 27 octobre, sur commission rogatoire des juges d’instruction. Le lendemain, les juges l’ont mis en examen pour extraction frauduleuse de données d’un système de l’État en bande organisée. S’y ajoutent l’accès et le maintien frauduleux dans ce même système.

Il avait 15 ans au moment des faits. Le parquet de Paris avait requis un contrôle judiciaire, et c’est ce que les magistrats ont retenu. Son avocat Me Réda Ghilaci évoque auprès du Monde une mise en examen « particulièrement fragile ». Il compte la contester dans les prochains jours.

Casquette n’est pas un inconnu des services. Il avait déjà passé une garde à vue fin août à la brigade cyber de la préfecture de police de Paris. Le 4 septembre, il était mis en examen dans une autre procédure visant le groupe Epsilon. Son complice présumé ChatNoir (18 ans) est en détention provisoire depuis l’été dans le dossier du fisc.

Sous la bannière Epsilon, le tandem revendait un infostealer à d’autres cybercriminels. Les juges lui prêtent aussi les piratages de Shadow et de LDLC entre 2023 et 2024. Le principe est d’une simplicité brutale. Une fois sur la machine, le programme copie les mots de passe mémorisés par le navigateur et les transmet à son opérateur.

C’est par cette porte que Bercy est tombé. Le rapport de l’Anssi publié le 29 septembre estime que plusieurs dizaines d’identifiants d’agents ont été « probablement aspirés par des infostealers ». Le fisc n’administrait pas ces ordinateurs. Deux portails n’avaient pas d’authentification forte, et environ 14 Go de données sont sortis en trois mois sans déclencher d’alerte.

Le lot volé à la DGFiP contient 392 867 particuliers et 285 570 professionnels, avec le revenu fiscal de référence, l’adresse et la situation familiale. Pour un braqueur qui cherche un foyer aisé à visiter, c’est un annuaire. L’Anssi précisait fin septembre qu’aucune agression n’avait encore été reliée à ces fichiers. ZeroBytes affirme pourtant avoir vendu une partie des données à deux acheteurs pour quelques milliers d’euros.