Piratage des impôts : un adolescent de 16 ans mis en examen aux côtés du hacker ChatNoir
Un deuxième suspect, soupçonné d'être le complice du jeune pirate ChatNoir, a été interpellé. Le duo est lié au piratage de 678 000 dossiers fiscaux en juin et juillet.
Deuxième suspect interpellé dans l'affaire Zerobytes
Selon huffingtonpost.fr, un adolescent de moins de 16 ans a été interpellé et placé en garde à vue dans le dossier du piratage des impôts. Le parquet a précisé qu'il a ensuite été libéré, les enquêteurs se concentrant désormais sur l'exploitation de son matériel informatique. Ce second suspect est soupçonné d'être le complice du hacker connu sous le pseudonyme ChatNoir, mis en examen deux jours après son arrestation le 18 août.
ChatNoir, un homme de 18 ans résidant en Île-de-France, avait déjà été interpellé et placé en détention provisoire à Paris. Pirate chevronné connu des autorités, il avait précédemment fait l'objet de deux mises en examen pour des attaques informatiques commises en 2023 et 2024 lorsqu'il était encore mineur. Il était placé sous contrôle judiciaire depuis. Le Parisien rapporte qu'il est cofondateur présumé du collectif Epsilon, groupe de hackers ayant revendiqué le piratage des comptes X de BFMTV et de RMC en mars 2024.
Les deux jeunes pirates ont revendiqué l'attaque sous le pseudo collectif Zerobytes, affirmant avoir volé les données pour les revendre. Ils ont déclaré à l'AFP avoir cédé les informations pour une somme « en milliers d'euros », bien que cette affirmation reste invérifiable. À la question sur leurs motivations, le duo assurait n'avoir aucun objectif idéologique, citant simplement « l'argent ».
L'ampleur du vol de données
Le piratage du site des finances publiques s'est déroulé fin juin et fin juillet, entraînant le vol de données d'au moins 678 000 particuliers et professionnels, selon la direction générale des finances publiques (DGFiP). L'attaque n'a été révélée au grand public que mi-août, lorsque le groupe Zerobytes l'a revendiquée publiquement.
Pour les particuliers, les données dérobées comprennent les noms et prénoms, le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. La DGFiP considère les informations concernant les professionnels comme « moins sensibles ». Un échantillon consulté par l'AFP contenait principalement des données sur des petites et moyennes entreprises, dont celles d'une filiale d'un grand équipementier automobile français.
Cette précision des fichiers nourrit les craintes d'escroqueries ciblées. Dans l'économie de la cybercriminalité, le pirate ayant accès au système n'est généralement pas celui qui exploite ensuite les informations volées. Les bases de données sont fréquemment revendues à des spécialistes de la fraude.
Autres victimes du groupe Zerobytes
Au-delà du fisc, le groupe a ciblé plusieurs institutions et entreprises. Selon le parquet de Paris, les victimes de Zerobytes incluent les services de l'Éducation nationale, la Fédération française de handball, France Travail, le distributeur Intermarché et le groupe de télécoms SFR. L'Agence pour l'enseignement français à l'étranger et l'Académie de Créteil figurent également parmi les structures affectées.
Enquête administrative et judiciaire
Le gouvernement s'est saisi du dossier. Sébastien Lecornu a demandé un audit à l'Agence nationale de la sécurité des systèmes d'information (Anssi), tandis que le ministre des Comptes publics David Amiel a présenté ses excuses aux contribuables. De son côté, le forum sur lequel le suspect revendiquait ses attaques contre le fisc restait fonctionnel vendredi après-midi, bien que son compte X ait été fermé.
La justice avait ouvert une enquête en toute discrétion dès la réception des premières plaintes le 31 juillet, donc avant la revendication publique de l'attaque. L'affaire, jugée sensible, a été confiée à l'Office anti-cybercriminalité (Ofac).
ChatNoir encourt une peine de 10 ans d'emprisonnement et 300 000 euros d'amende pour une série de cyberinfractions, ainsi que pour association de malfaiteurs. Le parquet a indiqué que les investigations se poursuivent sous la conduite d'un juge d'instruction pour identifier et interpeller les autres personnes impliquées dans le collectif.
Le fisc a annoncé contacter individuellement les 678 000 usagers concernés pour les mettre en garde contre de possibles escroqueries ciblées.
Source: Le Monde - Justice