Un suspect de 18 ans mis en examen dans l'affaire du piratage de la DGFiP, un second relâché

Un second relâché… Un adolescent devenu majeur entre-temps, une administration une fois de plus prise en défaut, et une piste qui finit par déboucher sur un nom. Le parquet de Paris a confirmé ce vendredi 4 septembre la mise en examen et le placement en détention provisoire d’un homme soupçonné d’appartenir au groupe de pirates ZeroBytes, auteur revendiqué du piratage massif de la DGFiP cet été. Un second suspect, mineur de moins de 16 ans, a lui été relâché à l’issue de sa garde à vue. Voici ce que l’on sait de cette avancée judiciaire, et pourquoi elle concerne directement les détenteurs de cryptomonnaies.

ZeroBytes, un suspect de 18 ans, pas un inconnu de la justice

Le principal intéressé a 18 ans. C’est tout ce que le parquet de Paris a livré sur son identité dans les éléments relayés par BFMTV.

Par ailleurs, deux dossiers pèsent déjà à son casier :

une première mise en examen en juin 2024,

une seconde en janvier 2025.

Toutes deux pour des faits de piratage commis quand il était encore mineur. À 18 ans à peine, il en serait donc déjà à sa troisième affaire. Vitesse rare, ou signe que la justice ne l’avait tout simplement jamais lâché.

Un pseudonyme circule déjà en marge de l’enquête, ChatNoir. Selon les informations de Seb Latombe (@seblatombe) journaliste cybersécurité et surtout fondateur de FrenchBreaches, le suspect serait un visage déjà connu du petit monde du hacking francophone, cofondateur présumé du collectif Epsilon. En mars 2024 déjà, un groupe se revendiquant d’Epsilon, avec parmi ses membres un certain ChatNoir, avait détourné les comptes X de BFMTV et de RMC pour y diffuser ses propres messages. Si le lien se confirme, l’adolescent aurait donc bel et bien multiplié les cibles bien avant de s’en prendre au fisc.

Le second suspect interpellé, lui, a moins de 16 ans. Relâché après sa garde à vue, il n’est pas mis hors de cause pour autant. Ses ordinateurs restent entre les mains des enquêteurs, qui comptent bien en éplucher le contenu.

Une fuite de 678 000 dossiers, du pain béni pour les braqueurs de crypto

Tout part de deux intrusions, fin juin puis fin juillet, que la DGFiP a fini par admettre le 13 août. Méthode plutôt artisanale sur le papier : usurper l’accès d’un agent, puis aspirer en rafale ce que l’outil de recherche interne veut bien livrer. Le butin, lui, ne l’est pas du tout, artisanal. 678 000 particuliers et professionnels s’y retrouvent, avec noms, dates de naissance, adresses, revenu fiscal de référence et taux de prélèvement à la source.

Repérer une cible fortunée devient un jeu d’enfant avec ce genre de fichier en main. Or la France concentre déjà l’essentiel des wrench attacks recensées dans le monde, ces agressions où la victime est forcée sous la menace de transférer ses cryptomonnaies. Un fisc qui sait qui a de l’argent et où il habite devient, dans ce contexte précis, une arme. ZeroBytes affirme d’ailleurs détenir une seconde base, cadastrale cette fois, portant sur plusieurs millions de personnes. La DGFiP ne l’a ni confirmée ni infirmée.

« Les impôts, c’était que le début », prévient ZeroBytes

Deux pirates, pas de bannière politique, l’appât du gain comme seul étendard. Interrogé sur ses motivations, le duo cite l’argent et, tout aussi franchement, le goût du pouvoir. Avant de s’en prendre au fisc, ZeroBytes avait déjà revendiqué des attaques contre Intermarché et la Fédération française de handball. Le groupe dit aussi avoir mis la main, cet été, sur des données d’un grand opérateur téléphonique et d’un groupe hôtelier, sans que ces entreprises n’aient confirmé quoi que ce soit pour l’instant.

Une partie du butin fiscal aurait même déjà changé de mains. Le groupe assure, dans des propos rapportés par l’AFP, avoir vendu des fichiers à deux acheteurs pour plusieurs milliers d’euros, avec l’idée qu’une même base peut se revendre autant de fois qu’il y a de clients. ZeroBytes a prévenu sur X, sans détour : les impôts n’étaient qu’un hors-d’œuvre.