Interpellé le 18 août, écroué le 20, son arrestation n'a été annoncée publiquement que le 4 septembre - l'histoire d'une traque qui a abouti, et de failles systémiques qui, elles, demeurent ouvertes
Soixante-dix-huit mille dossiers fiscaux dérobés, trois brèches successives dans les serveurs de l'État, des données revendues sur un forum criminel - et au bout de la piste, un adolescent de banlieue parisienne né en 2008. Ce vendredi 4 septembre, le parquet de Paris a officialisé ce que les enquêteurs savaient depuis la mi-août : un membre présumé du groupe ZeroBytes est derrière les barreaux. Mais ce que révèle cette arrestation sur la vulnérabilité persistante de l'État français dépasse de loin le destin d'un seul suspect.
Un pseudonyme choisi dans la nuit, une région parisienne comme territoire de chasse, et une liste de victimes qui s'étend d'un opérateur téléphonique à l'administration fiscale de la République. Le suspect, connu en ligne sous le pseudonyme « ChatNoir », est présenté comme cofondateur présumé du collectif Epsilon, déjà mis en examen dans les affaires Free, LDLC, BFM-TV et RMC, et désormais soupçonné d'appartenir à ZeroBytes et d'avoir participé au piratage de la DGFiP.
Né en janvier 2008 et domicilié en région parisienne, le jeune homme est soupçonné de faire partie de ZeroBytes et d'avoir participé aux cyberattaques contre la Direction générale des finances publiques. Ce que la chronologie judiciaire révèle en creux est tout aussi instructif : les enquêteurs l'ont interpellé le 18 août, et le parquet de Paris l'a mis en examen le 20 août avant de le placer en détention provisoire - soit quinze jours avant que cette information ne soit portée à la connaissance du public.
Trois brèches, des mois de silence, une revendication
Le pillage de Bercy ne s'est pas déroulé en une nuit. Le mode opératoire repose sur l'usurpation des identifiants de deux comptes légitimes : celui d'un agent de la DGFiP et celui d'un tiers habilité à accéder au système. L'accès aurait été obtenu via l'usurpation d'un identifiant permettant de se connecter à un VPN normalement réservé aux agents du fisc pour se connecter à distance à leurs outils internes, ce qui lui aurait donné accès à un outil interne de recherche sur les particuliers et les professionnels, à partir duquel il affirme avoir lancé une extraction automatisée de données.
Les pirates ont limité leurs consultations afin de rester sous les seuils d'alerte, les requêtes importantes pouvant être légitimes dans le travail quotidien des agents de la DGFiP. Cinquante-sept comptes ont été identifiés comme compromis en juin 2026 et aussitôt bloqués - mais l'extraction de données n'avait pas été repérée à l'époque, le pirate ayant pris soin de ne pas consulter trop de fiches et de rester sous les seuils de déclenchement d'alerte.
Ce qui était passé inaperçu, c'est que l'attaquant est revenu en juillet avec un second compte DGFiP compromis et le même mode opératoire. C'est seulement les 12 et 13 août 2026 qu'un acteur malveillant a revendiqué le vol de données à la suite de ces accès illégitimes, intervenus en juin, juillet et août.
Le tableau des données dérobées lors de cette première intrusion est précis et alarmant. L'administration fiscale a officiellement reconnu le 14 août 2026 que des accès illégitimes à son système d'information avaient permis la consultation et l'extraction de données concernant environ 678 000 particuliers et professionnels. Noms, revenu fiscal de référence, quotient familial ou encore taux de prélèvement à la source se sont retrouvés en vente sur un forum spécialisé.
La mécanique criminelle ne s'est pas arrêtée là. Une seconde intrusion, distincte, a visé le 29 juillet le Serveur Professionnel de Données Cadastrales ; le pirate affirme avoir extrait environ 252 000 lignes correspondant, selon lui, à plus de deux millions de propriétaires - un chiffre qui n'a pas été confirmé dans cette proportion par la DGFiP. Une troisième faille, de nature différente, est survenue le 17 août sur le portail des successions vacantes : non plus des identifiants volés, mais une vulnérabilité technique permettant un accès sans authentification préalable à un service répertoriant les successions non réclamées.
Côté cadastral, les informations exposées couvrent les droits de propriété, les identités des copropriétaires et les données parcellaires ; côté successions, les données touchent aux identités, adresses, dates et lieux de décès, situations matrimoniales et informations liées au patrimoine successoral.
Ce que les données volées permettent de faire - et ce que les autorités ont tardé à dire Contrairement à un mot de passe ou un numéro de carte bancaire qui se changent en cas de compromission, l'essentiel des données volées - un nom, une date de naissance, un niveau de revenu fiscal - est immuable et ne peut être réinitialisé.
Un courriel mentionnant l'identifiant fiscal exact d'un contribuable, son dernier montant d'impôt payé, son adresse complète : le taux de réussite d'une tentative d'hameçonnage grimpe à 40 %, contre 2 % pour un message générique. Les risques sont multiples : demandes de crédit frauduleuses avec état civil, revenus et adresse ; cambriolages ciblés permis par le croisement des données cadastrales et des revenus pour identifier les victimes les plus lucratives.
Ce que l'administration n'a pas su voir est documenté par la directrice générale elle-même. Des investigations ont été menées en interne, mais se sont révélées malheureusement insuffisantes, de l'aveu même d'Amélie Verdier, puisqu'elles ont totalement manqué le vol massif de données. Ce n'est finalement que le 12 août, jour de la revendication du piratage sur un forum de revente spécialisé, que la DGFiP a pris conscience de l'ampleur de la fuite. « Nous n'avions pas connaissance du vol de données avant le 12 août », a martelé la directrice générale.
La France n'a toujours pas transposé en droit interne la directive européenne de résilience numérique, la loi qui doit le faire restant bloquée au Parlement depuis septembre 2025 - Bruxelles a d'ailleurs saisi la Cour de justice de l'Union européenne contre la France pour ce retard, le 8 juillet 2026.
ChatNoir, un itinéraire dans la cybercriminalité française depuis l'adolescence L'affaire DGFiP n'est pas le premier dossier où ce pseudonyme apparaît. Le 23 mars 2024, le groupe de hackers Epsilon diffusait sur son compte X un message provocateur signé par deux pseudonymes, ChatNoir et Casquette, revendiquant les piratages de BFM-TV. Dès le 1er mars 2024, le groupe Epsilon avait revendiqué une cyberattaque contre LDLC, affirmant avoir dérobé les données de 1,5 million de clients.
Le 5 juin 2024, un adolescent de 16 ans avait été arrêté par la Brigade de lutte contre la cybercriminalité dans le cadre de l'enquête sur Epsilon - sur Telegram, le groupe avait confirmé l'arrestation de ChatNoir à la suite des affaires LDLC et Sport 2000. Ce premier passage devant la justice n'a pas suffi à briser la trajectoire.
Impliqué dans des affaires comme la fuite des données de Sport 2000 ou le piratage des comptes de BFM-TV et RMC, le jeune pirate est ensuite soupçonné d'avoir participé au vol des données de Free à l'automne 2024. La jonction entre le collectif Epsilon et ZeroBytes dessine un continuum rare : le même individu présumé aurait traversé deux structures criminelles distinctes, chacune progressant en audace et en volume de données ciblées.
Le second suspect : quinze ans et le pseudonyme « Casquette »
Le second suspect dans l'affaire ZeroBytes serait connu sous le pseudonyme « xCasquette ». Né en 2010, il a été interpellé le 26 août puis remis en liberté, son matériel informatique ayant été saisi pour expertise. Le second suspect interpellé a moins de 16 ans. Relâché après sa garde à vue, il n'est pas mis hors de cause pour autant, ses ordinateurs restant entre les mains des enquêteurs.
Mais l'affaire a rebondi. Selon Le Monde, ce même adolescent a été interpellé à nouveau le 2 septembre dans le cadre d'une procédure distincte liée au groupe Epsilon - il a été mis en examen dans ce dossier le 4 septembre et placé sous contrôle judiciaire. Deux dossiers, deux groupes distincts, un seul mineur au carrefour des deux.
ZeroBytes, un groupe criminel à visée lucrative, pas idéologique
Derrière ZeroBytes se cacheraient simplement deux hackers français, animés par une quête de notoriété, mais surtout par une motivation pécuniaire. L'entretien accordé par ZeroBytes au site spécialisé FrenchBreaches le confirme sans équivoque. ZeroBytes ne cherche pas à présenter ses activités comme une forme d'hacktivisme. Interrogé sur ses motivations, sa réponse est directe : « L'argent est la principale motivation de toute personne ainsi que le désir de pouvoir. »
Le pirate rejette l'idée d'une motivation politique derrière le choix de ses cibles, malgré la compromission de plusieurs services français : « Je n'ai pas de motivations politiques, je cherche, je trouve et je fais. » Son fonctionnement serait donc essentiellement opportuniste : identifier un accès possible, récupérer les informations disponibles, puis les monétiser.
L'ampleur du catalogue revendiqué par ZeroBytes dépasse cependant la seule administration fiscale. Le parquet attribue également à ZeroBytes des revendications concernant France Travail, la Fédération française de handball, Intermarché, SFR et Bureau Vallée, tandis que le groupe a aussi revendiqué des vols de données visant l'Éducation nationale et le service public « Zéro Logement Vacant ».
Selon les affirmations de ZeroBytes relayées par FrenchBreaches, le groupe aurait exfiltré 346 millions de lignes de données du ministère de l'Éducation nationale, réparties dans environ 2 500 fichiers totalisant 43 gigaoctets, incluant des informations sur 1,22 million d'élèves, 4,35 millions d'identifiants d'enseignants et 602 000 comptes académiques.
Le compte X de ZeroBytes a été suspendu ce vendredi après-midi, comme l'a constaté Euronews. Un compte qui était resté actif plusieurs jours après le placement en détention provisoire de ChatNoir, ce qui confirme que le groupe comptait au moins un autre membre opérationnel au-delà du suspect écroué.
La réponse de l'État : des excuses sincères, des failles structurelles qui persistent
La conférence de presse du 18 août à Bercy a constitué un moment rare dans l'histoire de la gouvernance numérique française. Pour la première fois, un ministre rendait des comptes sur un cyberincident aux côtés d'une directrice générale d'administration centrale. « Oui, nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français », a déclaré le ministre David Amiel lors de cette conférence de presse.
Le directeur général adjoint de l'ANSSI, Stéphane Bajard, a précisé qu'il s'agissait « d'attaquants qui réexploitent des comptes utilisateurs compromis pour passer sous les radars » et qu'ils « relèvent de la communauté cybercriminelle plutôt francophone ».
Les promesses d'action ont suivi. Le gouvernement a annoncé l'accélération du plan de sécurisation numérique de l'État lancé le 30 avril 2026, qui prévoit notamment 200 millions d'euros pour la cybersécurité, et le passage de 1 % à 5 % du budget numérique de chaque ministère consacré à la cybersécurité à partir de 2027, ainsi que la création d'une nouvelle autorité numérique de l'État.
Mais l'écart entre l'ambition affichée et l'état réel des systèmes est documenté depuis bien avant l'été. Depuis le début de l'année 2026, la France enregistre en moyenne trois vols de données par jour. L'administration souffre d'une dette numérique ancienne, de nombreux systèmes datant des années 1990 et n'étant plus adaptés aux menaces actuelles, l'État ne consacrant qu'environ 1 % de son budget numérique à la cybersécurité. Des experts notent qu'« il est préoccupant qu'en 2026, la généralisation de l'authentification multifacteur soit encore un sujet ».
Depuis janvier, les incidents informatiques se succèdent à la DGFiP : ordinateurs bloqués, applications indisponibles, données bancaires consultées frauduleusement. La CGT Finances publiques avait largement alerté sur les risques liés à la « dette informatique » accumulée aux Finances publiques.
Le plan d'action annoncé par le ministre comprend plusieurs phases, dont la lutte contre la compromission des comptes des agents, un renforcement de la formation cybersécurité des agents, et l'accélération de l'usage systématique de l'authentification forte pour tous les accès.
Ce que cette arrestation dit - et ce qu'elle ne règle pas
L'Office anticybercriminalité, rattaché à la Direction générale de la Police nationale, a conduit l'enquête qui a abouti à l'écrou de ChatNoir. Le parquet de Paris a précisé avoir ouvert une enquête dès la réception des premières plaintes, le 31 juillet, soit avant la revendication de l'attaque rendue largement publique - ce qui signifie que l'action pénale n'a pas attendu le bruit médiatique de la revendication.
La réactivité judiciaire est réelle et mérite d'être relevée. En moins de trois semaines après la revendication publique du 12 août, un suspect était interpellé. La machine judiciaire a fonctionné. Ce que l'arrestation ne résout pas, en revanche, est la question centrale que pose toute cette affaire.
Un groupe présenté comme composé de deux hackers français, mus par l'appât du gain, a réussi à traverser la DGFiP, l'Éducation nationale, France Travail, plusieurs entreprises privées et des plateformes gouvernementales en utilisant une méthode dont l'attaquant lui-même résume les fondements ainsi : « un peu de tout, l'erreur humaine, les failles, la stupidité, la négligence ». Pas de sophistication technologique d'État, pas de ressources d'une puissance étrangère hostile. De la débrouillardise, des identifiants mal protégés, et des seuils d'alerte trop facilement contournables.
David Amiel l'a dit lui-même lors de la conférence de presse : « Notre pire ennemi, ce serait la banalisation, de s'habituer à des fuites de données extrêmement sensibles, de mettre la poussière sous le tapis. »
Ce qui se joue désormais est moins dans la salle d'audience où ChatNoir sera jugé que dans les serveurs de Bercy, dans les pratiques d'authentification des 5 300 informaticiens de la DGFiP, et dans la rapidité avec laquelle le gouvernement transformera ses engagements du 18 août en réalité opérationnelle. Car si la prochaine brèche survient avant cette transformation, l'excuse de la découverte sera épuisée.
Ce que la suite pourrait révéler
La piste la plus probable à court terme est celle de nouvelles mises en examen. Les investigations se poursuivent pour identifier et interpeller les autres personnes susceptibles d'être mises en cause. Le compte ZeroBytes a continué à publier des revendications après l'arrestation de ChatNoir, ce qui indique que d'autres membres du groupe restent à identifier et à interpeller.
Le volet judiciaire s'annonce également plus complexe qu'il n'y paraît. Un homme de 18 ans soupçonné d'appartenir au groupe ZeroBytes a été mis en examen et placé en détention provisoire, mais sa responsabilité personnelle dans la publication des données reste à établir formellement - le groupe ayant continué à agir après son incarcération. Les charges retenues, notamment l'accès frauduleux en bande organisée et l'association de malfaiteurs, laissent entendre que l'instruction vise un réseau, pas un seul individu.
La réforme structurelle annoncée par le gouvernement constitue un second terrain de développement, celui où la pression sera la plus forte. À partir de 2027, chaque ministère devra obligatoirement consacrer 5 % de son budget numérique à la cybersécurité. L'indicateur à surveiller est la date d'entrée en vigueur effective de l'authentification multifacteur généralisée pour les agents de l'État - c'est précisément cette mesure, si elle avait été déployée avant l'été, qui aurait rendu les intrusions de ZeroBytes beaucoup plus difficiles à conduire.
Le risque le moins probable mais le plus structurant est celui d'une récidive avant que les failles identifiées ne soient comblées. En février 2026 déjà, le fichier national des comptes bancaires FICOBA avait exposé 1,2 million de comptes après des identifiants d'agents détournés. Le vecteur était identique. La méthode était connue. Et les systèmes n'avaient pas encore été sécurisés en profondeur quand ZeroBytes a frappé, quatre mois plus tard.
« Notre pire ennemi, ce serait la banalisation, de s'habituer à des fuites de données extrêmement sensibles. »
David Amiel, ministre de l'Action et des Comptes publics, conférence de presse du 18 août 2026
